Un exploit de gouvernance chez BonkDAO vide 4,4 billions de BONK, l'attaquant revend 800 milliards

BonkDAO vient d'essuyer l'un des braquages de DAO les plus audacieux de l'année, sans qu'aucun code malveillant n'ait été écrit. Un attaquant anonyme a siphonné environ 4,426 billions de jetons BONK de la trésorerie en exploitant les règles de gouvernance. Il a déjà vendu 800 milliards de BONK pour près de 2 millions de dollars et détiendrait encore 2,4 billions de jetons. Mécanisme de l'attaque L'assaillant a accumulé environ 882 milliards de BONK, pour un coût estimé à 4,4 millions de dollars. Cette position a suffi à franchir le quorum de vote de BonkDAO, seuil minimal de participation requis pour valider une proposition. Une fois le quorum atteint, il a déposé puis fait adopter une proposition de gouvernance malveillante redirigeant des fonds de la trésorerie vers un portefeuille qu'il contrôlait. L'opération s'est déroulée via des transactions on-chain parfaitement "légitimes", sans vulnérabilité de smart contract, sans stratagème de flash loan et sans bug de réentrance. Butin et valorisation Le butin total s'élève à environ 4,426 billions de BONK, pour une valeur estimée entre 20 et 21 millions de dollars au moment du siphonnage. Rapporté à une mise d'environ 4,4 millions de dollars, le rendement est considérable. Ventes et impact de marché Dans la foulée, le cours de BONK a chuté de 79%, s'échangeant autour de 0,00000383 dollar peu après. L'attaquant a pour l'instant liquidé 800 milliards de BONK pour environ 2 millions de dollars. Une vente en une seule fois de 4,4 billions de jetons accentuerait fortement la pression sur le prix et risquerait de laisser l'attaquant avec des jetons quasi invendables. La présence des 2,4 billions de BONK restants constitue un "surplomb" permanent sur le marché: les acheteurs doivent intégrer la possibilité de nouvelles ventes à tout moment. Enjeu au-delà de BONK Cet épisode illustre les fragilités persistantes des modèles de gouvernance pondérés par la détention de jetons. Quand le poids des votes est proportionnel aux avoirs, un acteur suffisamment capitalisé peut prendre temporairement le contrôle d'un protocole. Parmi les garde-fous courants figurent des délais (timelocks) avant exécution des votes, des contrôles de trésorerie via multisignature et des seuils de proposition gradués selon les montants déplacés. BonkDAO semble avoir manqué de protections suffisantes sur au moins une partie de ces dispositifs. Points de vigilance pour les investisseurs L'élément central à surveiller pour les détenteurs de BONK reste les 2,4 billions de jetons encore logés dans le portefeuille de l'attaquant. Les outils de suivi on-chain peuvent identifier les mouvements, mais lorsque les ventes deviennent visibles, l'impact est souvent déjà acté. Si 4,4 millions de dollars suffisent à extraire environ 20 millions de dollars d'une trésorerie, l'incitation économique pour les attaquants est très favorable. Les investisseurs sont invités à examiner les paramètres de gouvernance des jetons pilotés par DAO qu'ils détiennent: exigences de quorum, timelocks des propositions, contrôles d'accès à la trésorerie, et existence d'un multisig ou d'un mécanisme de veto en dernier recours.