Un abuso de gobernanza en BonkDAO vacía 4,4 billones de BONK; el atacante vende 800.000 millones

Uno de los golpes más llamativos del año a una DAO no necesitó malware ni fallos en contratos inteligentes. Un atacante anónimo drenó cerca de 4,426 billones de tokens BONK de la tesorería de BonkDAO aprovechando las reglas de gobernanza. Ya ha vendido 800.000 millones de BONK por unos 2 millones de dólares y aún conserva 2,4 billones. Cómo se ejecutó la operación El atacante acumuló aproximadamente 882.000 millones de BONK por un coste cercano a 4,4 millones de dólares. Con esa posición superó el quórum de votación de BonkDAO, el umbral mínimo de participación necesario para aprobar propuestas. Con el quórum asegurado, presentó y sacó adelante una propuesta maliciosa que ordenaba transferir fondos de la tesorería a una cartera bajo su control. Toda la secuencia se realizó mediante transacciones onchain legítimas, sin recurrir a vulnerabilidades del contrato, préstamos flash ni fallos de reentrancia. Dimensión del botín El total sustraído ascendió a unos 4,426 billones de BONK, valorados en torno a 20–21 millones de dólares en el momento del drenaje. Frente a una inversión de 4,4 millones, la rentabilidad implícita resulta extraordinaria. Ventas y efecto en el mercado El precio de BONK cayó un 79% tras el ataque y poco después se negociaba alrededor de 0,00000383 dólares. Hasta ahora, el atacante ha liquidado 800.000 millones de BONK por aproximadamente 2 millones de dólares. Una venta inmediata de 4,4 billones de tokens hundiría la cotización y reduciría el valor de los tokens restantes. La posición que queda —2,4 billones de BONK— actúa como un lastre constante: los compradores deben descontar el riesgo de ventas adicionales en cualquier momento. Por qué trasciende a BONK El caso de BonkDAO vuelve a poner en primer plano un problema estructural de la gobernanza ponderada por tokens: cuando el poder de voto crece con la cantidad de tokens, quien dispone de suficiente capital puede hacerse con el control de forma temporal. Entre las defensas habituales figuran votaciones con "time-lock", controles de tesorería mediante multifirma y umbrales escalonados de propuestas en función del volumen de fondos a mover. BonkDAO, según lo ocurrido, carecía de salvaguardas suficientes en al menos parte de estos frentes. Qué deberían vigilar los inversores La preocupación inmediata para los tenedores de BONK es la existencia de 2,4 billones de tokens aún en la cartera del atacante. Aunque las herramientas onchain permiten monitorizarla, cuando las ventas se hacen visibles el impacto suele estar ya descontado. Si una inversión de 4,4 millones de dólares puede desbloquear 20 millones de una tesorería, el incentivo para repetir este tipo de ataques es muy elevado. Conviene revisar los parámetros de gobernanza de cualquier token gestionado por una DAO: requisitos de quórum, bloqueos temporales de propuestas, controles de acceso a la tesorería y la presencia de mecanismos de multifirma o veto como red de seguridad.