Неизвестный злоумышленник опустошил казну BonkDAO на сумму около $20 млн, проведя легитимную, с технической точки зрения, атаку через управляющее голосование. Для этого потребовалось купить примерно 1% от общего предложения BONK — около $4,4 млн — на Binance, Bybit и нескольких DeFi-протоколах кредитования. Из более чем 18 000 участников DAO в голосовании приняли участие лишь 7 кошельков, явка составила 2,9%, а предложение получило 99,9% голосов «за». Как только голосование закрылось, средства мгновенно переместились на подконтрольный атакующему адрес.
Инцидент, произошедший 6 июля 2026 года, нельзя считать взломом в классическом смысле: не было ни эксплойта, ни скомпрометированных ключей, ни сбоя в смарт-контрактах. Скорее, это напоминало враждебное корпоративное поглощение. Злоумышленник тихо накопил право голоса, используя покупки на централизованных биржах и заёмные токены, чтобы не разгонять цену, а затем, преодолев порог кворума, провёл транзакцию на перевод всей казны. После вывода средств организация на платформе Realms была переименована в «Sowellian BonkDAO».
BonkDAO подтвердил факт опустошения казны спустя 20 часов, заявив, что установил биржевые кошельки, использованные для покупки BONK перед голосованием, и сотрудничает с биржами, мостами, Solana Foundation и правоохранительными органами для отслеживания украденных средств.
Ключевыми уязвимостями стали отсутствие временной задержки исполнения (time-lock) и отсутствие экстренного мультисига. В правильно спроектированных DAO после голосования следует обязательный период ожидания, позволяющий сообществу отреагировать на подозрительные предложения; у BonkDAO такого механизма не было. Также не существовало совета доверенных лиц, который мог бы наложить вето на явно вредоносное решение.
На фоне новостей криптобиржи Upbit и Kraken приостановили депозиты и вывод BONK. Цена токена упала на 7–10%, пробив все основные скользящие средние (50, 100 и 200-периодные) на 4-часовом графике и закрепившись вблизи уровня $0,00000422. Индекс относительной силы (RSI) опустился до 34,92, приближаясь к зоне перепроданности. Ближайшая поддержка находится в районе $0,00000400, а пробитие этого уровня может отправить цену к июньским минимумам около $0,00000380.
Случай BonkDAO — не первый и не последний в череде атак на управление. Ранее подобным образом пострадали Beanstalk Farms (потеря $182 млн через флеш-кредит), Build Finance, Tornado Cash, а также Compound, где попытка вывода $24 млн была остановлена только благодаря вмешательству сообщества и угрозе централизованного мультисига. Во всех этих случаях код исполнялся корректно, а потери были следствием просчётов в дизайне управления.
Главный вопрос теперь — как квалифицирует произошедшее правовая система. С точки зрения «код — закон», все транзакции были валидны. Однако и BonkDAO, и правоохранители расценивают случившееся как уголовное киберпреступление. Исход расследования может создать прецедент, определяющий реальную степень правовой защиты казны DAO за пределами математики кворума.
