Aanvaller steelt $21,2 miljoen uit Bonk treasury via governance exploit

Een slimme maar kwaadaardige actie kost de Bonk treasury tientallen miljoenen dollars. Een aanvaller spendeert slechts $4,4 miljoen om via een governance exploit $21,2 miljoen aan Bonk tokens te stelen, goed voor een netto winst van $16,8 miljoen. De blockchain detectives van Lookonchain leggen de aanval stap voor stap bloot.

Bonk is verkrijgbaar bij Bybit.

Zo zet de aanvaller het governance systeem naar zijn hand

Op 30 juni dient de aanvaller een governance voorstel in bij de BonkDAO. Het voorstel, genaamd BIP #76 onder de naam Sowellian BonkDAO, stelt voor om 4,426 biljoen Bonk ter waarde van $21,2 miljoen over te boeken naar een wallet die hij zelf beheert. In de omschrijving staat dat het gaat om het implementeren van Sowellian governance, het installeren van nieuwe leden en het heropbouwen van de DAO. Alle stemgerechtigden die ja stemmen, zouden tokens ontvangen.

Om het voorstel door te laten gaan, is een quorum van 879,95 miljard Bonk nodig. De aanvaller koopt vervolgens via Bybit en Binance in totaal 882,285 miljard Bonk ter waarde van $4,4 miljoen, net genoeg om de drempel te halen. Hij stemt vervolgens met alle tokens op ja. Slechts 7 wallets brengen in totaal een stem uit, met een participatie van slechts 2,9%. De tegenstem van 710,85 miljoen Bonk haalt het bij lange na niet van de 882,38 miljard tokens die vóór het voorstel stemmen.

Miljoenen dollars verlaten de treasury richting exchanges

Zodra het voorstel automatisch wordt uitgevoerd, stroomt de volledige 4,426 biljoen Bonk rechtstreeks naar de wallet van de aanvaller. Daarna begint hij de buit te verplaatsen. Onchain data van Arkham laat zien dat 30 miljard Bonk ter waarde van $141.000 en 10 miljard Bonk ter waarde van $47.000 naar OKX gaan. In totaal belandt zo’n 40 miljard Bonk, goed voor $188.000, op die exchange.

Het overgrote deel van de gestolen tokens, namelijk 4,386 biljoen Bonk ter waarde van $18,64 miljoen, blijft vooralsnog in een andere wallet staan. Of en wanneer de aanvaller die tokens verder verkoopt, is op het moment van schrijven nog niet bekend. De aanval toont opnieuw aan hoe kwetsbaar governance structuren met lage deelname kunnen zijn wanneer een partij genoeg kapitaal inzet om het quorum te domineren.