BonkDAO 於 7 月 6 日通報，一名不明人士透過在 Realms 平台（許多 Solana DAO 使用的鏈上投票工具）上通過一項惡意治理提案，從項目的 Solana 金庫中移除了約 2000 萬美元的 BONK 。這是一起 治理捕獲 / 買票攻擊，而非程式碼層級的駭客攻擊 。

根據 BonkDAO 的聲明，攻擊者在提案前利用交易所錢包累積 BONK 代幣，累積足夠的投票權重後推動了這筆惡意轉移 。區塊鏈調查人員的鏈上分析後續估計，攻擊者花費了約 400 萬美元 來獲取足夠的投票影響力 。

攻擊者如何顛覆投票機制

此漏洞利用了代幣加權投票的一個基本設計特徵：一個代幣等於一票。

• 投票權累積：攻擊者在數天內，透過交易所錢包悄悄建立大量的 BONK 持倉，BonkDAO 表示已識別出這些錢包被用於「累積投票影響力」。
• 提案提交與通過：一旦攻擊者掌握了多數投票權，他們便提交了一項惡意提案，授權將金庫資金轉移至自己的錢包。根據 Realms 的治理規則，該提案合法通過——系統僅僅是反映了代幣持有者的共識 。
• 無需利用漏洞：攻擊者無需尋找任何智能合約的漏洞。他們直接利用了治理流程本身，將 DAO 的民主基礎設施變成了掠奪工具 。

此攻擊與閃電貸輔助的治理攻擊（如 2022 年損失 1.82 億美元的 Beanstalk 事件）有一個關鍵區別：BonkDAO 的攻擊者是透過時間積累了真實的代幣持倉，而非在單一交易中借款並償還。但兩者都暴露了相同的根本弱點：任何人只要擁有足夠的代幣，就能通過任何提案 。

正在進行的復原努力

截至 2026 年 7 月 7 日，BonkDAO 已宣布以下應對措施：

• 移交執法單位 — DAO 表示已通知執法機構，並正配合調查 。
• 協調交易所 — 該項目正與加密貨幣交易所合作，凍結或追蹤已開始流向交易平台的被盜資金 。據報導，韓國交易所 Upbit 和 Bithumb 在事件發生後暫停了 BONK 的存入和提現 。
• Solana 基金會介入 — BonkDAO 正與 Solana 基金會協調應對 。
• 監控與追蹤 — 團隊正在追蹤攻擊者的錢包活動，以識別資金流向模式 。

在事件發生後的短時間內，尚未有關於鏈上回滾、代幣重新發行或對受影響持有者進行補償的公開公告 。

對代幣加權投票與 DeFi 安全的廣泛影響

BonkDAO 事件並非單一案例。它是 2026 年安全研究員一直在記錄的結構性漏洞中最新、也最引人注目的一個例子。

代幣加權投票存在結構性脆弱

任何投票權與代幣持有量成正比的治理系統，都容易遭受「治理捕獲」——資金充足的攻擊者只需購買或借用足夠的代幣，就能通過惡意提案 。正如 2026 年 2 月一篇 arXiv 論文所指出的，這種設計「為駭客操縱投票結果」並執行資金提取提案創造了機會 。

Realms 平台上的 DAO 可能需要更強的保護機制

此漏洞引發了對 Realms 平台保護措施是否足夠的擔憂，特別是關於時間鎖（提案通過與執行之間的時間差）和執行控制機制，這些機制本可讓社區在資金離開金庫前否決可疑提案 。與 Compound 的 Governor Bravo（引入了對近期獲得代幣的兩天投票延遲）不同，Realms 似乎缺乏這項安全機制 。

治理攻擊正成為 2026 年最「高資本效率」的 DeFi 攻擊向量

安全分析師注意到，結合買票、社會工程和提案劫持的治理攻擊正變得更加頻繁和精密，通常所需的技術門檻低於智能合約漏洞攻擊，卻能帶來豐厚回報 。

2026 年多宗類似案例

就在 BonkDAO 事件發生前數週，TOP Token 也遭受了價值 158 萬美元的治理接管攻擊。攻擊者利用 Aragon DAO 的配置錯誤，以極小的代幣供應量就取得了多數投票權 。BonkDAO 事件遵循了相同的攻擊模式，但規模大得多。

需要時間加權投票與時間鎖

提議的緩解措施包括：時間加權投票餘額（要求代幣在賦予投票權前必須持有最短時間）、對涉及金庫資金轉移的提案強制實施時間鎖、多重簽名或社會層級的否決機制，以及二次方或凹性投票方案 。然而，2026 年發表的研究也顯示，即使是凹性投票方案，在最佳化的攻擊者策略下，也可能透過女巫攻擊被逆轉回線性投票權 。

BonkDAO 於 7 月 6 日通報，一名不明人士透過在 Realms 平台（許多 Solana DAO 使用的鏈上投票工具）上通過一項惡意治理提案，從項目的 Solana 金庫中移除了約 2000 萬美元的 BONK 。這是一起 治理捕獲 / 買票攻擊，而非程式碼層級的駭客攻擊 。

根據 BonkDAO 的聲明，攻擊者在提案前利用交易所錢包累積 BONK 代幣，累積足夠的投票權重後推動了這筆惡意轉移 。區塊鏈調查人員的鏈上分析後續估計，攻擊者花費了約 400 萬美元 來獲取足夠的投票影響力 。

攻擊者如何顛覆投票機制

此漏洞利用了代幣加權投票的一個基本設計特徵：一個代幣等於一票。

• 投票權累積：攻擊者在數天內，透過交易所錢包悄悄建立大量的 BONK 持倉，BonkDAO 表示已識別出這些錢包被用於「累積投票影響力」。
• 提案提交與通過：一旦攻擊者掌握了多數投票權，他們便提交了一項惡意提案，授權將金庫資金轉移至自己的錢包。根據 Realms 的治理規則，該提案合法通過——系統僅僅是反映了代幣持有者的共識 。
• 無需利用漏洞：攻擊者無需尋找任何智能合約的漏洞。他們直接利用了治理流程本身，將 DAO 的民主基礎設施變成了掠奪工具 。

此攻擊與閃電貸輔助的治理攻擊（如 2022 年損失 1.82 億美元的 Beanstalk 事件）有一個關鍵區別：BonkDAO 的攻擊者是透過時間積累了真實的代幣持倉，而非在單一交易中借款並償還。但兩者都暴露了相同的根本弱點：任何人只要擁有足夠的代幣，就能通過任何提案 。

正在進行的復原努力

截至 2026 年 7 月 7 日，BonkDAO 已宣布以下應對措施：

• 移交執法單位 — DAO 表示已通知執法機構，並正配合調查 。
• 協調交易所 — 該項目正與加密貨幣交易所合作，凍結或追蹤已開始流向交易平台的被盜資金 。據報導，韓國交易所 Upbit 和 Bithumb 在事件發生後暫停了 BONK 的存入和提現 。
• Solana 基金會介入 — BonkDAO 正與 Solana 基金會協調應對 。
• 監控與追蹤 — 團隊正在追蹤攻擊者的錢包活動，以識別資金流向模式 。

在事件發生後的短時間內，尚未有關於鏈上回滾、代幣重新發行或對受影響持有者進行補償的公開公告 。

對代幣加權投票與 DeFi 安全的廣泛影響

BonkDAO 事件並非單一案例。它是 2026 年安全研究員一直在記錄的結構性漏洞中最新、也最引人注目的一個例子。

代幣加權投票存在結構性脆弱

任何投票權與代幣持有量成正比的治理系統，都容易遭受「治理捕獲」——資金充足的攻擊者只需購買或借用足夠的代幣，就能通過惡意提案 。正如 2026 年 2 月一篇 arXiv 論文所指出的，這種設計「為駭客操縱投票結果」並執行資金提取提案創造了機會 。

Realms 平台上的 DAO 可能需要更強的保護機制

此漏洞引發了對 Realms 平台保護措施是否足夠的擔憂，特別是關於時間鎖（提案通過與執行之間的時間差）和執行控制機制，這些機制本可讓社區在資金離開金庫前否決可疑提案 。與 Compound 的 Governor Bravo（引入了對近期獲得代幣的兩天投票延遲）不同，Realms 似乎缺乏這項安全機制 。

治理攻擊正成為 2026 年最「高資本效率」的 DeFi 攻擊向量

安全分析師注意到，結合買票、社會工程和提案劫持的治理攻擊正變得更加頻繁和精密，通常所需的技術門檻低於智能合約漏洞攻擊，卻能帶來豐厚回報 。

2026 年多宗類似案例

就在 BonkDAO 事件發生前數週，TOP Token 也遭受了價值 158 萬美元的治理接管攻擊。攻擊者利用 Aragon DAO 的配置錯誤，以極小的代幣供應量就取得了多數投票權 。BonkDAO 事件遵循了相同的攻擊模式，但規模大得多。

需要時間加權投票與時間鎖

提議的緩解措施包括：時間加權投票餘額（要求代幣在賦予投票權前必須持有最短時間）、對涉及金庫資金轉移的提案強制實施時間鎖、多重簽名或社會層級的否決機制，以及二次方或凹性投票方案 。然而，2026 年發表的研究也顯示，即使是凹性投票方案，在最佳化的攻擊者策略下，也可能透過女巫攻擊被逆轉回線性投票權 。