BONK DAO perde 20 milioni di dollari dopo un attacco alla governance

L’attacco è passato dalla governance Realms di Solana, non da uno smart contract. BONK sta lavorando con gli exchange, la Solana Foundation e le forze dell’ordine per tracciare i token rubati.

In breve

• BONK DAO conferma che gli attaccanti hanno sottratto circa 20 milioni di dollari in BONK dalla treasury attraverso una proposta di governance malevola.
• Prima di far passare la proposta, l’attaccante avrebbe acquistato circa 4 milioni di dollari in BONK per ottenere abbastanza potere di voto sulla piattaforma Realms di Solana.
• BONK sta collaborando con gli exchange, la Solana Foundation e le forze dell’ordine per seguire i token spostati e, se possibile, recuperarli.

BONK DAO ha confermato che gli attaccanti sono riusciti a portare via circa 20 milioni di dollari (17,5 milioni di euro) in BONK dalla treasury, sfruttando una proposta di governance malevola. Stando a quanto comunicato dal progetto, una parte dei token rubati sarebbe già stata inviata verso gli exchange. Nel frattempo, il team sta lavorando con gli exchange, la Solana Foundation e le forze dell’ordine per rintracciare gli asset e, se possibile, recuperarli.

Come ha funzionato l’attacco

Dalle prime analisi on-chain emerge che l’attaccante avrebbe comprato circa 4 milioni di dollari (3,5 milioni di euro) in BONK, così da accumulare abbastanza potere di voto per far avanzare la proposta. A quel punto, la proposta è passata attraverso il sistema di governance di BONK DAO sulla piattaforma Realms di Solana, consentendo il trasferimento di una somma stimata in 20 milioni di dollari (17,5 milioni di euro) dalla treasury verso wallet controllati dall’attaccante.

Non sembra quindi il solito exploit di uno smart contract, ma un attacco che ha colpito direttamente la governance. In casi come questo, il meccanismo di voto basato sui token può essere usato per far approvare una transazione che, almeno in apparenza, è regolare, ma che poi finisce per danneggiare la DAO.

Perché è importante

Per chi segue il mercato crypto, questo episodio ricorda che i rischi legati alle DAO non sono solo tecnici. Il problema può nascere anche dal modo in cui vengono prese le decisioni. Episodi come l’hack della DAO nel 2016 e l’attacco a Beanstalk DAO nel 2022 avevano già mostrato come una concentrazione eccessiva del potere di voto e tempi di esecuzione troppo rapidi possano aprire nuove vulnerabilità.

Ecco perché il tema di timelock, quorum e wallet multisig torna spesso al centro del dibattito. Strumenti di questo tipo aggiungono passaggi e tempi di verifica in più, rendendo più difficile che una proposta malevola riesca a passare senza essere notata.

I prossimi passi per BONK

BONK ha spiegato che l’indagine è ancora aperta e che sono già partite le attività di recupero. Adesso il focus è sul tracciamento dei token spostati, sul coordinamento con tutti i soggetti coinvolti e sulla possibile revisione della governance, così da rafforzare la protezione della treasury contro episodi simili in futuro.