BonkDAO-Governance-Hack: 20 Millionen Dollar durch manipulierte Abstimmung erbeutet

Am 6. Juli 2026 bestätigte BonkDAO – die dezentrale Organisation hinter der auf Solana basierenden Memecoin BONK –, dass rund 20 Millionen Dollar in BONK-Tokens aus der eigenen Treasury gestohlen wurden. Der Angreifer nutzte keinen Bug im Smart Contract und auch keinen Preis-Orakel-Fehler aus. Er stimmte sich das Geld einfach selbst zu – über das Governance-System der DAO ^INC. Wie das geschah und warum es ein Wendepunkt für die DeFi-Sicherheit im Jahr 2026 ist.

Was geschah: Ein Governance-Angriff, kein technischer Exploit

BonkDAO meldete am 6. Juli, dass eine unbekannte Partei rund 20 Millionen Dollar in BONK aus der Solana-Treasury abgezogen hatte – über einen bösartigen Governance-Vorschlag auf der Realms-Plattform, dem Instrument, das viele Solana-DAOs für On-Chain-Abstimmungen nutzen ^IN. Der Angriff war ein Governance-Capture- bzw. Vote-Buying-Schema, kein Code-Level-Hack ^CN.

Laut der offiziellen Stellungnahme von BonkDAO nutzte der Angreifer Exchange-Wallets, um vor dem Vorschlag BONK-Tokens zu akkumulieren und so genügend Stimmgewicht zu erlangen, um die bösartige Überweisung durchzudrücken ^CN. Die On-Chain-Analyse von Blockchain-Ermittlern schätzt, dass der Angreifer rund 4 Millionen Dollar ausgegeben hat, um genügend Stimmrecht zu erlangen ^BM.

Wie der Angreifer das Abstimmungssystem unterwanderte

Der Exploit nutzte ein grundlegendes Designmerkmal token-gewichteter Abstimmungen aus: Ein Token entspricht einer Stimme.

• Stimmakkumulation: Der Angreifer baute über mehrere Tage hinweg eine große BONK-Position über Exchange-Wallets auf, die BonkDAO zufolge zur „Akkumulation von Stimmrecht“ genutzt wurden ^CN.
• Vorschlagseinreichung und -annahme: Sobald der Angreifer die Stimmenmehrheit besaß, reichte er einen bösartigen Vorschlag ein, der die Überweisung der Treasury-Gelder auf sein eigenes Wallet autorisierte. Nach den Governance-Regeln von Realms wurde der Vorschlag auf legitime Weise angenommen – das System spiegelte lediglich den Token-Inhaber-Konsens wider ^INN.
• Keine Bug-Ausnutzung: Der Angreifer musste keinerlei Schwachstelle in einem Smart Contract finden. Er nutzte den Governance-Prozess selbst aus und machte die demokratische Infrastruktur der DAO zu einem Werkzeug für den Diebstahl ^IN.

Dieser Angriff unterscheidet sich in einem wesentlichen Punkt von Flash-Loan-gestützten Governance-Angriffen (wie dem Beanstalk-Fall 2022 mit 182 Millionen Dollar Verlust): Der BonkDAO-Angreifer akkumulierte echte Token-Bestände über einen längeren Zeitraum, anstatt sie in einer einzigen Transaktion zu leihen und zurückzuzahlen. Beide Methoden legen jedoch dieselbe grundlegende Schwäche offen: Jeder, der genügend Tokens besitzt, kann jeden beliebigen Vorschlag durchbringen ^IBA.

Bergungsbemühungen im Gange

Zum Stand des 7. Juli 2026 hatte BonkDAO folgende Maßnahmen eingeleitet:

• Einschaltung der Strafverfolgungsbehörden – Die DAO gab an, die Strafverfolgungsbehörden informiert zu haben und mit den Ermittlungen zu kooperieren ^TNC.
• Koordination mit Börsen – Das Projekt arbeitet mit Kryptobörsen zusammen, um die gestohlenen Gelder einzufrieren oder zu verfolgen, die bereits auf Handelsplattformen bewegt wurden ^BN. Die südkoreanischen Börsen Upbit und Bithumb setzten nach dem Vorfall Ein- und Auszahlungen von BONK aus ^B.
• Einbeziehung der Solana Foundation – BonkDAO koordiniert sich mit der Solana Foundation bei den Reaktionsmaßnahmen ^BN.
• Überwachung und Nachverfolgung – Das Team verfolgt die Wallet-Aktivitäten des Angreifers, um Bewegungsmuster zu identifizieren ^C.

Unmittelbar nach dem Vorfall wurden keine Ankündigungen zu einem On-Chain-Rollback, einer Token-Neuausgabe oder einer Entschädigung für betroffene Inhaber gemacht ^CN.

Breitere Auswirkungen auf token-gewichtete Abstimmungen und die DeFi-Sicherheit

Der BonkDAO-Vorfall ist kein isoliertes Ereignis. Es ist das jüngste und prominenteste Beispiel einer strukturellen Schwachstelle, die Sicherheitsforscher 2026 immer wieder dokumentiert haben.

Token-gewichtete Abstimmungen sind strukturell anfällig

Jedes Governance-System, in dem die Stimmkraft proportional zum Token-Besitz ist, ist anfällig für „Governance Capture“ – ein gut finanzierter Angreifer kann einfach genügend Tokens kaufen oder leihen, um bösartige Vorschläge durchzusetzen ^IBN. Wie ein arXiv-Papier vom Februar 2026 feststellt, eröffnet dieses Design „Möglichkeiten für Hacker, Abstimmungsergebnisse zu manipulieren“ und Vorschläge zum Abzug von Geldern auszuführen ^A.

Realms-basierte DAOs brauchen möglicherweise stärkere Schutzmaßnahmen

Der Exploit hat Bedenken hinsichtlich der Angemessenheit der Schutzmechanismen der Realms-Plattform aufgeworfen, insbesondere in Bezug auf Timelocks (Verzögerungen zwischen Vorschlagsannahme und -ausführung) und Ausführungskontrollen, die es der Gemeinschaft ermöglichen könnten, verdächtige Vorschläge zu blockieren, bevor Gelder die Treasury verlassen ^CN. Im Gegensatz zu Compounds Governor Bravo, das eine zweitägige Abstimmungsverzögerung für kürzlich erworbene Tokens einführte, scheint Realms diese Sicherheitsvorkehrung nicht gehabt zu haben ^A.

Governance-Angriffe werden 2026 zum kapital-effizientesten DeFi-Vektor

Sicherheitsanalysten haben festgestellt, dass Governance-Exploits, die Vote-Buying, Social Engineering und Proposal-Hijacking kombinieren, immer häufiger und raffinierter werden – oft mit weniger technischem Aufwand als Smart-Contract-Exploits, aber mit hohen Renditen ^DW.

Mehrere ähnliche Fälle im Jahr 2026

Nur wenige Wochen vor dem BonkDAO-Vorfall hatte der TOP-Token einen Governance-Übernahme-Exploit mit 1,58 Millionen Dollar Schaden erlitten, bei dem der Angreifer durch eine Fehlkonfiguration des Aragon-DAO mit einem sehr kleinen Token-Angebot die Stimmenmehrheit erlangte ^CH. Der BonkDAO-Fall folgt dem gleichen Muster – nur in viel größerem Maßstab.

Der Bedarf an zeitgewichteten Abstimmungen und Timelocks

Als Lösungsansätze werden unter anderem zeitgewichtete Abstimmungsguthaben (die fordern, dass Tokens eine Mindesthaltefrist haben, bevor sie Stimmrecht verleihen), obligatorische Timelocks für Treasury-Vorschläge, Multi-Sig- oder Social-Layer-Veto-Mechanismen sowie quadratische oder konkave Abstimmungsschemata vorgeschlagen ^IMB. Allerdings zeigt die 2026 veröffentlichte Forschung auch, dass selbst konkave Abstimmungsschemata durch optimale Angreiferstrategien mittels Sybil-Angriffen wieder in lineare Stimmkraft umgekehrt werden können ^C.