BonkDAO遭治理攻击：花440万买票，搬空2000万国库

哎，2025年7月6号凌晨，Solana上的那个模因币BONK的治理组织BonkDAO，出了一件让人无语的事。攻击者没用什么黑客漏洞，就是靠“买票”合法投票，直接把国库里大概4.4兆枚BONK给搬空了，价值差不多2000万美元。

欧易(OKX)

全球三大交易所之一，注册领50U数币盲盒，币圈常用的交易平台！

立即注冊立即下载

币安(Binance)

币安是世界领先的数字货币交易平台，注册领100U。

立即注冊立即下载

最讽刺的是啥？攻击者才花了大概440万美元买代币换取投票权，就换走了价值约2000万美元的资产。整个过程中，买币、投票、拨款，每一步技术上都算有效交易。你说这哪是抢劫？分明是“合法”的掠夺啊，对吧？

BonkDAO国库被掏空，价格暴跌

BonkDAO的官方X账号在7月6号确认，这是一起“恶意治理提案”。被盗的代币很快就流向了交易所，抛压导致BONK价格24小时内跌了大概7%到10%，跌到0.0000043美元左右，比历史高点0.000058美元低了差不多93%。说实话，这跌幅够吓人的。

被转走的代币一共4.4兆枚，估值大概1930万到2120万美元之间吧。BONK这个币是2022年12月在Solana上推出的狗狗模因币，当初靠社群空投火过一阵，甚至还被纳入了部分ETF呢。

攻击机制：提案#76伪装成治理改革

攻击的核心是一份叫“BIP #76 Sowellian BonkDAO”的治理提案。表面上看，它主张导入新治理模式、更换委员、重构持仓，甚至还承诺给投赞成票的人发代币奖励。听起来是不是很热血？感觉像是一份正义宣言。

但真正致命的是藏在提案底部的实际执行指令：一笔把4.43兆枚BONK直接转入攻击者钱包的转账。这道指令被夹在第二个执行步骤里，不容易一眼发现。一旦提案通过，指令自动在链上执行，根本不需要任何人再次确认。资金就在美东时间凌晨4点左右流入了以“JHvQ”结尾的攻击者钱包。至于承诺给赞成票的代币分润？你猜怎么着？当然不会兑现啦。

提前一周“买票”，投票率仅2.9%

根据Chainalysis、Lookonchain那些分析，这是一场预谋一周的行动。6月30号，匿名钱包提交提案。通过门槛是至少1%的代币供给量，大概8799.5亿枚BONK投赞成票。7月4号到5号，另一个钱包通过Bybit和币安买入约8823.8亿枚BONK，花了大概440万美元，刚好压过门槛。可能还通过DeFi借贷加码了。这些动作通过交易所钱包分散进行，社群几乎毫无察觉。是不是有点恐怖？这么大动静都没人发现。

最终提案以极小差距过关：8823.8亿赞成，对8799.5亿门槛。全程只有7个钱包投票，而1.8万多名成员完全没参与，投票率才2.9%。“赞成”比例高达99.9%，说白了就是攻击者自己给自己投票嘛。

得手后，攻击者干了这么两件事：从国库抢来的约2000万美元BONK，大部分转进一个多签钱包保管起来，只变现了大概18.8万美元；而当初为了买票自己买的那批BONK，倒是急着抛售，卖出了大约530万美元。你看，这算盘打得挺精。

交易所反应也挺快：Upbit和Kraken直接暂停了BONK存取。BonkDAO表示已经通报执法单位，还锁定攻击者投票前用的交易所钱包，正在跟各方合作追回资金。

结语：治理理想成了攻击者最趁手的工具

说实话，每个步骤技术上都是合法的，有些观察者认为这只能算利用脆弱设计，不是真的“破门而入”。但BonkDAO和多家分析机构还是定性为攻击，执法单位也介入了。

链上治理之前被吹捧成社群自治的未来，不过这次事件暴露了核心问题：低投票率、没有实质审查、低门槛、没有时间锁——再正当的理想也可能被利用。我倒是觉得，把金库钥匙交给一场“谁都能花钱参与”的公开投票，风险也太大了点。

常见问题

攻击者是如何绕过社群监测的？

攻击者是怎么绕过社群监测的？其实很简单，就是通过交易所分散买入代币，分两天累积投票权。BonkDAO那1.8万名成员里，只有7个钱包参与投票，投票率才2.9%，你说这能不让他得手吗？几乎没人察觉。

事件发生后有哪些应对措施？

事件发生后都有啥应对措施？Upbit和Kraken暂停了BONK存取；BonkDAO已经通报执法部门，还跟交易所、跨链桥还有Solana基金会合作追回资金。另外攻击者钱包里的部分代币也被冻结了。感觉反应还算及时吧。

这次攻击暴露了哪些治理漏洞？

这次攻击暴露了哪些治理漏洞？太多了：低投票率（才2.9%）、缺乏提案实质审查、低通过门槛（1%代币供给）、没有时间锁或人工复核——治理提案简直可以随便操纵。话说回来，这也是链上治理普遍面临的问题吧。