BONK DAO perd 20 millions de dollars après une attaque de gouvernance

L’attaque est passée par la gouvernance Realms de Solana, et non par un smart contract. BONK travaille avec des exchanges, la Solana Foundation et les forces de l’ordre pour tracer les tokens volés.

À retenir

• BONK DAO confirme que des attaquants ont siphonné environ 20 millions de dollars en BONK depuis la trésorerie au moyen d’une proposition de gouvernance malveillante.
• L’assaillant a d’abord acheté pour environ 4 millions de dollars en BONK afin d’obtenir suffisamment de poids dans le vote, avant de faire adopter la proposition via la plateforme Realms de Solana.
• BONK collabore avec des exchanges, la Solana Foundation et les forces de l’ordre pour suivre les tokens déplacés et tenter d’en récupérer une partie.

BONK DAO a confirmé que des attaquants ont détourné environ 20 millions de dollars (17,5 millions d’euros) en BONK depuis sa trésorerie en s’appuyant sur une proposition de gouvernance malveillante. Selon le projet, une partie des tokens volés a déjà été envoyée vers des exchanges. L’équipe dit travailler en parallèle avec des exchanges, la Solana Foundation et les forces de l’ordre pour retracer les actifs et tenter d’en obtenir la restitution.

Comment l’attaque a fonctionné

D’après la première analyse on-chain, l’attaquant a commencé par acheter environ 4 millions de dollars (3,5 millions d’euros) en BONK afin de réunir assez de pouvoir de vote pour faire passer sa proposition. Celle-ci a ensuite été validée via le dispositif de gouvernance de BONK DAO sur Realms, la plateforme de Solana, ce qui a permis de transférer environ 20 millions de dollars (17,5 millions d’euros) depuis la trésorerie vers des wallets contrôlés par l’assaillant.

L’incident ne ressemble donc pas à un exploit classique de smart contract, mais bien à une attaque de gouvernance. Dans ce genre de scénario, un vote pondéré par les tokens sert à faire adopter une opération qui paraît légitime en apparence, alors qu’elle finit par léser la DAO.

Pourquoi c’est important

Pour les investisseurs en crypto, cette affaire rappelle que les risques liés aux DAO ne sont pas uniquement techniques. Ils peuvent aussi se loger dans le mécanisme de décision lui-même. Des cas antérieurs, comme le hack de la DAO en 2016 et l’attaque de Beanstalk DAO en 2022, avaient déjà montré qu’une forte concentration du pouvoir de vote et une exécution rapide peuvent créer des failles importantes.

Dans ce contexte, le débat sur les timelocks, les exigences de quorum et les wallets multisignatures revient sur le devant de la scène. Ces garde-fous ajoutent des étapes de validation et du délai, ce qui complique la tâche d’une proposition malveillante cherchant à passer sous les radars.

Prochaines étapes pour BONK

BONK précise que l’enquête se poursuit et que des démarches de récupération ont été engagées. La priorité est désormais de suivre les tokens déplacés, de coordonner les actions avec les différentes parties prenantes et d’examiner d’éventuels ajustements de gouvernance pour mieux protéger la trésorerie contre une nouvelle attaque.