BonkDAO saldırısı: 20 milyon dolarlık BONK, kötü niyetli oylamayla nasıl çalındı?

6 Temmuz 2026’da BonkDAO, Solana blokzinciri üzerinde tuttuğu hazineden yaklaşık 20 milyon dolar değerinde BONK tokeninin çalındığını açıkladı. Saldırgan, bir akıllı sözleşmedeki teknik açığı ya da fiyat oracle’ını manipüle etmek yerine, projenin kendi yönetişim oylamasını kullanarak hazine transferini onaylattı ^ITC.

Bu nedenle olay, klasik bir kod saldırısından çok yönetişimin ele geçirilmesi vakası olarak değerlendiriliyor.

Saldırı nasıl gerçekleşti?

BonkDAO’nun açıklamasına göre saldırgan, teklif sunulmadan önce BONK tokenleri biriktirerek oylamadaki ağırlığını artırdı. Bu işlemlerde bazı borsa cüzdanlarının kullanıldığı ve söz konusu cüzdanların “oylama etkisi biriktirmek” amacıyla hareket ettiği belirtildi ^CB. Zincir üstü analizler ise saldırganın yeterli oy gücüne ulaşmak için yaklaşık 4 milyon dolar harcamış olabileceğine işaret ediyor ^BM.

Oylama, Solana ekosistemindeki DAO’lar tarafından kullanılan Realms platformunda gerçekleştirildi. Saldırgan yeterli oy gücünü elde ettikten sonra, hazinedeki BONK tokenlerinin kendi cüzdanına aktarılmasını sağlayan kötü niyetli bir teklif sundu. Teklif, sistemin kurallarına göre kabul edildi ve transfer gerçekleştirildi ^IK.

“Bir token, bir oy” modelinin zayıf noktası

BonkDAO’daki mekanizma, oy gücünü token miktarına bağlıyor. Başka bir deyişle, daha fazla BONK bulunduran adresin oylamada daha fazla etkisi var. Bu model topluluk katılımını kolaylaştırsa da büyük miktarda token satın alabilen veya geçici olarak ödünç alabilen bir aktörün karar sürecini domine etmesine kapı açıyor ^A.

Saldırının temel adımları şöyle özetlenebilir:

• Oy gücü biriktirme: Saldırgan birkaç gün boyunca büyük bir BONK pozisyonu oluşturdu ^CB.
• Kötü niyetli teklif sunma: Yeterli çoğunluğa ulaştıktan sonra hazine varlıklarının kendi cüzdanına aktarılmasını öngören teklifi sundu ^IK.
• Oylamayı geçirme: Token ağırlıklı sistem, saldırganın yüksek oy gücünü geçerli bir topluluk iradesi olarak kabul etti ^IC.
• Hazineyi boşaltma: Teklif onaylandıktan sonra yaklaşık 20 milyon dolar değerindeki BONK tokeni hazineden çıkarıldı ^ITC.

Buradaki kritik nokta, saldırganın akıllı sözleşme kodunda bir hata bulmak zorunda kalmamasıydı. Sistem, tasarlandığı şekilde çalıştı; sorun, yeterince büyük bir token pozisyonunun yönetişim üzerinde tek başına belirleyici olabilmesiydi ^IK.

Flash loan saldırılarından farkı ne?

BonkDAO vakası, 2022’de Beanstalk’ta görülen yaklaşık 182 milyon dolarlık flash loan destekli yönetişim saldırısından farklı bir yöntem izliyor. Flash loan modelinde saldırgan, yönetişim tokenlerini tek bir işlem içinde ödünç alıp oy kullandıktan sonra geri ödeyebilir. BonkDAO olayında ise saldırganın tokenleri zaman içinde satın alarak gerçek bir oy gücü biriktirdiği bildirildi ^A.

Bununla birlikte iki saldırı türünün ortak zayıflığı aynı: oy gücü token miktarına doğrudan bağlıysa, yeterli sermayeye sahip bir aktör zararlı bir teklifi geçirebilir.

BonkDAO’nun kurtarma çalışmaları

7 Temmuz 2026 itibarıyla BonkDAO’nun duyurduğu veya haber kaynaklarına yansıyan adımlar şunlardı:

• Kolluk kuvvetleriyle iletişim: DAO, olayı yetkili kurumlara bildirdiğini ve soruşturmalara destek verdiğini açıkladı ^TN.
• Borsalarla koordinasyon: Proje, çalınan tokenlerin borsalara hareketini izlemek ve mümkün olduğunda varlıkları dondurmak için kripto para platformlarıyla çalışıyor ^K. Güney Kore merkezli Upbit ve Bithumb’ın olayın ardından BONK yatırma ve çekme işlemlerini askıya aldığı bildirildi ^N.
• Solana Foundation ile iş birliği: BonkDAO, müdahale ve izleme çalışmaları kapsamında Solana Foundation ile koordinasyon yürütüyor .
• Cüzdan hareketlerinin izlenmesi: Ekip, saldırganın cüzdanındaki fon hareketlerini takip ederek tokenlerin nereye yönlendirildiğini belirlemeye çalışıyor ^CK.

Olayın hemen sonrasında zincir üstü geri alma, yeni token basımı veya etkilenen yatırımcılara tazminat konusunda kamuya açıklanmış kesin bir plan bulunmuyordu ^CN. Çalınan fonların geri kazanılıp kazanılamayacağı ise belirsizliğini koruyor ^I.

DeFi güvenliği açısından neden önemli?

BonkDAO saldırısı, merkeziyetsiz finans alanındaki güvenlik riskinin yalnızca akıllı sözleşme açıklarından ibaret olmadığını gösteriyor. Bir DAO’nun hazine işlemleri, teknik olarak geçerli ancak ekonomik olarak kötü niyetli bir oylamayla da tehlikeye girebilir.

Token ağırlıklı yönetişim kolayca ele geçirilebilir

Oy gücünün token miktarıyla orantılı olduğu sistemler, “yönetişim ele geçirme” riskine açık. İyi finanse edilmiş bir saldırgan token satın alarak veya ödünç alarak teklifleri kendi lehine çevirebilir ^IBA. Şubat 2026 tarihli akademik bir çalışma da token ağırlıklı oylamanın, kötü niyetli aktörlerin oy sonuçlarını manipüle ederek hazine transferi gibi teklifleri yürürlüğe koymasına imkân verebileceği uyarısında bulunuyor ^A.

Oylama ile uygulama arasına zaman konulması gerekebilir

Bu tür saldırılara karşı en sık önerilen önlemlerden biri timelock kullanımı. Timelock, bir teklif kabul edildikten sonra uygulanmadan önce zorunlu bir bekleme süresi getiriyor. Böylece topluluk, şüpheli bir teklifi fark edip iptal etmek veya işlemi durdurmak için zaman kazanabiliyor.

Ayrıca yeni satın alınan tokenlerin hemen oy gücü kazanmamasını sağlayan zaman ağırlıklı bakiyeler, hazine transferlerinde çoklu imza onayı ve topluluk tarafından kullanılabilecek veto mekanizmaları da önerilen savunmalar arasında ^MBA.

2026’da benzer olaylar artıyor

BonkDAO saldırısından haftalar önce TOP Token, yaklaşık 1,58 milyon dolarlık bir yönetişim ele geçirme vakası yaşadı. Aragon DAO’daki bir yapılandırma hatası nedeniyle toplam arzı yalnızca 16.384 token olan sistemde saldırgan, arzın yarısından biraz fazlasını kontrol ederek çoğunluğa ulaştı ve likidite havuzunu boşalttı ^CH.

Bu vakalar, yönetişim saldırılarının bazı akıllı sözleşme saldırılarına kıyasla daha az teknik uzmanlıkla, ancak yüksek finansal getiriyle gerçekleştirilebildiğine dair endişeleri güçlendiriyor ^DW.

Alternatif oylama modelleri de kusursuz değil

Güvenlik araştırmacıları; tokenlerin belirli bir süre elde tutulmasını şart koşan zaman ağırlıklı oylamayı, hazine tekliflerinde zorunlu bekleme sürelerini, çoklu imza kontrollerini ve ikinci dereceden ya da konkav oylama modellerini tartışıyor ^IMB.

Ancak bu modellerin de sınırları var. 2026’da yayımlanan bir araştırmaya göre, konkav oylama sistemleri, saldırganın tokenlerini çok sayıda cüzdana bölerek gerçekleştirdiği Sybil saldırıları yoluyla yeniden “bir token, bir oy” düzenine yaklaştırılabilir ^C. Bu da DAO güvenliğinde tek bir çözüm yerine, ekonomik teşvikleri, oylama tasarımını ve hazine uygulama kontrollerini birlikte ele alan katmanlı bir savunma yaklaşımına ihtiyaç olduğunu gösteriyor.

Sonuç

BonkDAO olayı, merkeziyetsiz yönetişimin en güçlü vaadini — topluluğun karar vermesini — aynı zamanda en büyük risklerinden birine dönüştürdü. Bir teklif kurallara uygun biçimde kabul edilmiş olsa bile, bu durum teklifin topluluk için güvenli veya meşru olduğu anlamına gelmiyor.

2026’da DAO’lar için temel güvenlik sorusu artık yalnızca “Kodda açık var mı?” değil. Bunun yanında “Bir aktör, yeterli oy gücünü satın alırsa hazinemizi tek başına boşaltabilir mi?” sorusunun da yanıtlanması gerekiyor.