BonkDAO-attacken: Så röstades 20 miljoner dollar bort ur statskassan

Den 6 juli 2026 bekräftade BonkDAO – den decentraliserade autonoma organisationen bakom den Solana-baserade memecoinen BONK – att tokens värda omkring 20 miljoner dollar hade stulits från projektets statskassa. Angriparen utnyttjade inte en smart contract-bugg eller en prisorakelattack. I stället röstade angriparen igenom överföringen med DAO:ns eget styrningssystem ^INC.

Det gör händelsen särskilt anmärkningsvärd: attacken såg på ytan ut som en legitim omröstning, men användes för att tömma den gemensamma kassan.

Det här hände – en styrningsattack, inte ett kodintrång

BonkDAO uppgav att en okänd aktör hade tömt ungefär 20 miljoner dollar i BONK från organisationens statskassa på Solana. Överföringen godkändes genom ett skadligt förslag på Realms, en plattform som används för styrning och omröstningar i många Solana-DAO:er ^IN.

Attacken beskrivs som ett fall av styrningskapning och röstköp, snarare än ett tekniskt angrepp på smarta kontrakt ^CN. Enligt BonkDAO använde angriparen plånböcker kopplade till kryptobörser för att bygga upp sitt BONK-innehav inför omröstningen. På så sätt samlades tillräckligt mycket röststyrka för att driva igenom förslaget ^CN.

Blockchain-utredare har i preliminära analyser uppskattat att angriparen köpte BONK för omkring 4 miljoner dollar för att få det inflytande som krävdes ^BM.

Så kunde omröstningen kapas

Angreppet utnyttjade en central princip i tokenbaserad styrning: en token motsvarar en röst.

• Röststyrkan byggdes upp i det tysta. Angriparen samlade under flera dagar på sig en stor BONK-position via börsplånböcker. BonkDAO sade att man hade identifierat plånböcker som använts för att ”samla röstinflytande” ^CN.
• Ett skadligt förslag lades fram. När angriparen hade tillräckligt stor röstandel skickades ett förslag som godkände en överföring av pengar från statskassan till angriparens egen plånbok.
• Förslaget passerade enligt reglerna. Med Realms vanliga styrningslogik var omröstningen formellt giltig. Systemet gjorde helt enkelt det det var byggt för att göra: följde tokenägarnas sammanlagda röststyrka ^INN.
• Ingen smart contract-bugg behövdes. Angriparen behövde inte hitta en brist i koden. I stället blev själva beslutsprocessen ett verktyg för att tömma kassan ^IN.

Det skiljer sig från en styrningsattack med så kallade flash loans, som i fallet Beanstalk 2022, där tokens lånas och återbetalas inom samma transaktion. I BonkDAO-fallet verkar angriparen i stället ha byggt upp ett äkta tokeninnehav över tid. Men den underliggande svagheten är likartad: den som kontrollerar tillräckligt många tokens kan få möjlighet att driva igenom ett skadligt förslag ^IBA.

Åtgärderna efter stölden

Den 7 juli 2026 hade BonkDAO meddelat flera åtgärder:

• Kontakt med brottsbekämpande myndigheter. DAO:n uppgav att händelsen hade rapporterats och att man samarbetade med utredningar ^TNC.
• Samarbete med kryptobörser. Projektet arbetar med börser för att spåra eller frysa stulna tillgångar som börjat flyttas till handelsplattformar ^BN. De sydkoreanska börserna Upbit och Bithumb uppgavs ha stoppat insättningar och uttag av BONK efter incidenten ^B.
• Samordning med Solana Foundation. BonkDAO samarbetar med Solana Foundation kring insatserna efter attacken ^BN.
• Spårning av plånböcker. Teamet följer angriparens aktivitet i blockkedjan för att kartlägga hur tillgångarna flyttas ^C.

I den omedelbara rapporteringen hade BonkDAO inte meddelat någon återställning av blockkedjan, nyutgivning av tokens eller kompensation till berörda innehavare ^CN. Det är också oklart hur stor del av de stulna tillgångarna som kan återvinnas.

Varför attacken är viktig för DeFi-säkerheten

BonkDAO-incidenten är inte ett isolerat fenomen. Den är ett av de tydligaste exemplen under 2026 på en strukturell risk i decentraliserad styrning.

Tokenbaserad styrning kan fångas av kapitalstarka aktörer

I ett system där rösträtten följer tokeninnehavet kan en välfinansierad angripare köpa – eller i vissa fall låna – tillräckligt många tokens för att påverka eller kontrollera ett beslut ^IBN. En forskningsartikel på arXiv från februari 2026 konstaterar att modellen skapar möjligheter att manipulera omröstningar och genomföra förslag som tömmer DAO:ns medel ^A.

Det innebär att en omröstning kan vara tekniskt korrekt genomförd men ändå ekonomiskt kapad. Problemet ligger då inte i signaturen eller transaktionen, utan i vem som tillfälligt eller permanent kontrollerar rösterna.

Realms-baserade DAO:er kan behöva fler spärrar

Attacken har väckt frågor om skydden kring Realms, framför allt användningen av timelocks – en väntetid mellan att ett förslag godkänns och att det verkställs – samt andra kontrollmekanismer. Sådana spärrar kan ge en community tid att stoppa ett misstänkt förslag innan pengar lämnar statskassan ^CN.

Som jämförelse har Compound Governor Bravo infört en två dagars fördröjning för röster från nyligen införskaffade tokens. En sådan spärr kan göra det svårare att köpa sig till inflytande precis före en omröstning ^A.

Styrningsattacker kräver ofta mindre teknisk skicklighet

Säkerhetsanalytiker har pekat på att attacker som kombinerar röstköp, social manipulation och kapade förslag blir allt mer sofistikerade. De kan kräva mindre teknisk expertis än traditionella smart contract-attacker, men ändå ge stora ekonomiska vinster ^DW.

För angriparen kan det alltså vara effektivare att hitta en svaghet i en DAO:s beslutsprocess än att försöka bryta sig igenom själva koden.

BonkDAO följer efter flera liknande fall

Bara några veckor före BonkDAO-incidenten utsattes TOP Token för en påstådd styrningskapning som kostade omkring 1,58 miljoner dollar. Där kunde angriparen få majoritetsinflytande med ett mycket litet tokenutbud, efter en felkonfiguration i en Aragon-DAO ^CH.

BonkDAO-fallet följer samma grundmönster, men i betydligt större skala: kontroll över styrningen användes för att godkänna en överföring av tillgångar.

Vilka skydd diskuteras?

Bland de föreslagna motåtgärderna finns:

• Tidsviktad rösträtt, där tokens måste ha hållits under en viss tid innan de ger full rösträtt.
• Obligatoriska timelocks för förslag som flyttar pengar ur en statskassa.
• Multisignaturkrav eller sociala veto-mekanismer, så att en enda omröstning inte räcker för att genomföra en stor överföring ^IMB.
• Kvadratisk eller konkav röstning, som försöker minska den direkta kopplingen mellan kapital och röstmakt.

Inte heller dessa modeller är problemfria. Forskning från 2026 visar att konkava röstningssystem kan kringgås genom så kallade Sybil-attacker, där en angripare delar upp sina tokens mellan många plånböcker. Under vissa strategier kan resultatet därmed i praktiken närma sig vanlig ”en token, en röst”-styrning igen ^C.

Den större lärdomen är därför att decentralisering inte automatiskt innebär säker styrning. En DAO behöver inte bara skydda sina smarta kontrakt – den måste också skydda processen som avgör vem som får bestämma över pengarna.