7 июля 2026 года казначейство BonkDAO, стоящего за мемкоином BONK на Solana, лишилось $20 млн — и ни один смарт-контракт не был взломан, ни один ключ не скомпрометирован. Атакующий просто купил право голоса за $4,4 млн и провёл транзакцию в строгом соответствии с правилами DAO. Инцидент стал хрестоматийным примером того, как токен-взвешенное голосование превращает казну в объект ренты при цене кворума, кратно меньшей её размера.
30 июня анонимный кошелёк внёс в систему управления Realms (стандартный инструментарий Solana) предложение BIP #76, маскируясь под «план обновления управления». В тексте значилось, что проголосовавшие «за» получат токены. Но ключевой пункт предписывал перевод 4,43 трлн $BONK — практически всей казны — на контролируемый атакующим адрес. Предложение провисело шесть дней. Всё это время злоумышленник методично скупал голоса через биржевые кошельки, потратив около $4,4 млн. Накопленный объём позволил 6 июля достичь явки в 2,9% при кворуме 879,95 млрд $BONK: «за» проголосовало 99,9% — 882,38 млрд монет. Сразу после этого автоматическое исполнение перевело средства.
Сбой системы стал результатом трёх отсутствующих предохранителей: временной задержки между принятием и исполнением (timelock), мультиподписного вето и продуманного дизайна кворума. Фактически казначейство объёмом 15% от циркулирующего предложения столкнулось с публично известной арифметикой: рыночная цена кворума ~ $4 млн, а извлекаемая стоимость — в пять раз больше. Этот просчёт напоминает атаку на Beanstalk в 2022 году, но без применения флеш-кредитов — здесь использовался «терпеливый капитал», купленный за несколько дней.
Инцидент вскрыл укоренившуюся практику покупки голосов: рынки взяток, кредитования голосов и делегирования давно работают в DeFi. Специалисты по безопасности настаивают, что ключевой метрикой должна быть «цена коррупции» — стоимость захвата решающей власти против ценности, которую она открывает. Для здоровой системы первая должна многократно превышать вторую. У BonkDAO этого не случилось, и рынок немедленно отреагировал падением BONK на 8–10%. Похищенные токены и без того не находились в обращении, но потеря подорвала экосистемные гранты и программы обратного выкупа. Криптобиржа Upbit приостановила депозиты и выводы BONK, а следы ведут на кошелёк, связанный с Bybit, что даёт шанс на идентификацию злоумышленника, хотя заморозить средства на цепи вряд ли удастся.
Философский спор о том, является ли случившееся кражей или строгим следованием правилам, разделил сообщество. В BonkDAO заявили о мошенничестве, основанном на ложном представлении предложения и искусственно заниженной явке. Главный технический директор Ripple Дэвид Шварц поддержал эту позицию, подчеркнув, что законность не определяется валидностью протокола. Практическим итогом для индустрии станет чек-лист: таймлоки для казначейских предложений, аварийные советы с правом вето и пересмотр кворума с учётом состязательной математики. Каждая мера, впрочем, несёт собственные издержки, но главный урок однозначен: если цена кворума меньше казны, активами не владеют — их арендуют. Это и показал понедельник в июле.
