BONK : un attaquant dépense 4,4 millions de dollars pour voter le vol de 20 millions $

Ce qu’il faut retenir :

• Un attaquant a vidé la trésorerie de BONK DAO d’environ 20 millions de dollars lundi soir.
• Il a dépensé 4,4 millions de dollars en tokens BONK pour faire passer une proposition de gouvernance malveillante.
• Chaque étape du braquage était une transaction valide aux yeux du protocole.

BONK vient d’offrir un cas d’école aux détracteurs de la gouvernance onchain. Un attaquant a dépensé environ 4,4 millions de dollars pour acheter assez de tokens du memecoin de Solana et faire adopter une proposition qui a transféré, automatiquement et en toute légalité protocolaire, 20 millions de dollars de la trésorerie de BONK DAO vers son propre portefeuille. Le tout sans exploiter la moindre faille de code : le système de vote a fonctionné exactement comme prévu. C’est bien le problème.

Comment l’attaquant a-t-il vidé la trésorerie de BONK DAO ?

BONK DAO est l’organisation autonome décentralisée qui gouverne le memecoin : les détenteurs de tokens votent les propositions, et celles qui passent s’exécutent automatiquement onchain. Pour être adoptée, une proposition doit réunir des votes favorables représentant 1 % de l’offre de BONK, le quorum minimal.

L’opération a duré une semaine, selon Chainalysis. Le 30 juin, un portefeuille anonyme soumet la proposition “BIP #76 – Sowellian BonkDAO”, qui prévoit de transférer les avoirs de la trésorerie vers une adresse qu’il contrôle. Les 4 et 5 juillet, un second portefeuille achète précisément la quantité de tokens nécessaire : environ 4,4 millions de dollars de BONK acquis sur Bybit et Binance, complétés par des emprunts sur des plateformes de prêt DeFi d’après Lookonchain. Le 6 juillet, ce portefeuille vote l’intégralité de sa position en faveur du texte. Le quorum est atteint d’extrême justesse : 882,38 milliards de BONK pour, contre un seuil de 879,95 milliards. Quelques instants plus tard, 4 430 milliards de BONK, soit environ 20 millions de dollars, quittent la trésorerie.

Un braquage où chaque transaction est légale

Les chiffres de participation racontent l’absurdité de la scène : 7 portefeuilles ont voté, sur plus de 18 000 membres, soit un taux de participation de 2,9 %. Le résultat de 99,9 % de “oui” revient à un votant unique d’accord avec lui-même. Le texte de la proposition tenait plus de la provocation que de la motion de gouvernance, promettant de “reconstruire à partir des cendres” et d’arrêter l’hémorragie, avec en prime des tokens promis aux votants favorables. En dessous se cachait la seule ligne qui comptait : le transfert vers le portefeuille de l’attaquant.

La suite confirme le caractère prémédité de l’opération. Neuf heures après le vol, environ 188 000 dollars filaient vers une plateforme d’échange, sans doute pour être encaissés, tandis que les 19 millions restants rejoignaient un portefeuille multisig, qui exige plusieurs signatures pour bouger les fonds. Une heure après le drainage, l’attaquant revendait déjà pour environ 5,3 millions de dollars les BONK achetés pour l’attaque : il garde le butin, pas l’arme du crime. Le cours du BONK a perdu 7 % en 24 heures dans la foulée.

Vol caractérisé ou simple usage des règles ?

L’affaire relance un vieux débat. Puisque chaque étape (l’achat, le vote, le paiement) constituait une transaction valide, certains observateurs onchain estiment que l’attaquant a seulement exploité un design de gouvernance défaillant, sans rien “casser. BONK DAO, les sociétés d’analyse et les forces de l’ordre, désormais impliquées, traitent l’épisode comme une attaque. La DAO a confirmé le vol d’environ 20 millions de dollars, identifié les portefeuilles d’échange utilisés pour acheter les tokens avant le vote et dit collaborer avec les plateformes, les bridges et la Solana Foundation pour limiter les dégâts.

La leçon dépasse le cas BONK : une trésorerie que n’importe qui peut vider en s’achetant une majorité temporaire ne vaut que le coût de cette majorité. Ici, 4,4 millions de dollars pour un butin de 20 millions. Un ratio qui donnera des idées.

Ce qu’il faut surveiller

Les 19 millions de dollars parqués sur le multisig restent le nerf de l’affaire : chaque mouvement sera traqué par Chainalysis et les plateformes alertées, ce qui complique leur blanchiment. À suivre aussi, la réponse structurelle de BONK DAO et des autres DAO exposées : relèvement des quorums, délais d’exécution des propositions, veto de sécurité ou vote pondéré dans le temps. Car tant que le prix d’une majorité restera inférieur au contenu du coffre, ce type d’attaque se reproduira.