Казну BonkDAO опустошили без единой ошибки в коде. Атакующий заранее и по частям скупал BONK на бирже — примерно на $4,4 млн, — набрал достаточный вес голоса и подал предложение о переводе средств. Голосование прошло, из казны ушло около 4,426 трлн BONK, по курсу того дня — порядка $20 млн. Публично DAO раскрыла инцидент 6 июля, уже после того как токены оказались на кошельке атакующего.
Механика здесь важнее суммы. BonkDAO голосует через Realms, вес голоса пропорционален количеству токенов, а явка на рядовых предложениях низкая. При таком сочетании кворум перестаёт быть защитой: покупателю достаточно перекрыть фактическую явку, а не долю от всего саплая. Смарт-контракты казны отработали ровно так, как написаны, — перевод был легитимным с точки зрения протокола. Это отличает случай от привычных эксплойтов: аудит кода такую атаку не ловит, её ловят только параметры управления — задержка исполнения предложения, кворум от общего предложения токенов, право вето у совета.
Дальше пошла стандартная процедура. BonkDAO заявила, что работает с биржами, мостами и Solana Foundation, вычислила биржевые кошельки, с которых BONK покупался перед голосованием, и обратилась в правоохранительные органы. Корейские Upbit и Bithumb приостановили ввод и вывод BONK на время разбирательства. Сам токен за сутки потерял около 8–9%, торгуясь в районе $0,0000044; за предыдущие двенадцать месяцев он и так подешевел примерно на 80%.