4,4 millions pour en emporter 20 millions, l'attaquant pourrait-il être un « initié » ? La gouvernance DeFi, devenue une blague.

Quel est le vol le plus « légal » que vous ayez jamais vu ?

Dans la nuit du 6 juillet, le BonkDAO de l'écosystème Solana a été vidé.

Pas un piratage, pas une faille de contrat.

C'était un vote.

L'attaquant a dépensé 4,4 millions de dollars pour acheter des jetons BONK, et a soumis une proposition de gouvernance intitulée « BIP #76 - Sowellian BonkDAO ».

En surface, il était écrit « Reconstruire à partir des cendres, monétiser les avoirs, stopper l’hémorragie », promettant des récompenses en BONK à tous ceux qui voteraient pour.

En réalité, la proposition ne contenait qu’une seule instruction effective :

Transférer directement les 4,4 billions de BONK du trésor dans le portefeuille de l’attaquant.

— L’ensemble du processus, techniquement totalement légal.

La proposition a été adoptée.

Le trésor s’est vidé.

L’attaquant s’est enfui.

Et les dernières conclusions de l’enquête ont complètement changé la nature de l’affaire.

L’agence de sécurité on-chain Specter a tracé les fonds et a découvert :

L’adresse de l’attaquant présentait des traces de transactions financières avec les adresses du fondateur de Realms et de Crypto Notte.

Qu’est-ce que Realms ?

C’est la plateforme de gouvernance utilisée pour les votes de BonkDAO.

L’enquête a également révélé qu’une adresse liée à l’attaquant était devenue le premier votant dans une proposition de test créée par le fondateur de Realms en janvier 2023, et avait reçu 1 DEANS transféré par Realms.

Plus absurde encore – l’ensemble de BonkDAO compte plus de 18 000 membres enregistrés.

Seuls 7 portefeuilles ont voté.

L’attaquant, avec les votes favorables de 7 portefeuilles, a emporté 20 millions de dollars.

18 000 personnes silencieuses, 7 personnes ont tout décidé.

L’ancien CTO de Ripple, David Schwartz, a directement qualifié cela : c’est une fraude d’entreprise. Les tribunaux d’État n’accepteront pas la défense « le code fait loi ».

Le code est légal, mais le comportement est frauduleux.

Que nous apprend cette affaire ?

Premièrement, la « gouvernance décentralisée » devient une blague.

Un seuil de vote de 1 %, 4,4 millions de dollars suffisent à l’acheter.

Deuxièmement, la vulnérabilité la plus dangereuse n’est pas le code, ce sont les humains.

Si l’attaquant a vraiment un lien avec l’intérieur de la plateforme de gouvernance —

Alors ce n’est pas une attaque externe.

C’est un initié avec les clés qui entre par la porte principale et vide le coffre.

Troisièmement, arrêtez de dire « le code fait loi ».

Le code peut exécuter parfaitement un transfert malveillant.

Mais le code ne vous dira pas qui est la personne derrière ce transfert. #GUSD年化升至3.8% #美终止对伊朗石油制裁豁免 $BTC $SOL $BONK