「合法な」強盗？攻撃者はチケットを購入してBonkDAOの国庫を空にした

著者： Chloe， ChainCatcher

2026年7月6日未明、SolanaエコシステムのミームコインBONKのコミュニティガバナンス組織BonkDAOがガバナンス攻撃に遭遇しました。攻撃者は「合法」とされたガバナンス提案を通じて、国庫から約4.4兆枚のBONKトークンを奪い去りました。この事件で最も注目すべき点は、スマートコントラクトの脆弱性ではなく、攻撃者が約440万ドルで「票」を購入し、約2000万ドルの資産を手に入れたことです。そして、すべてのステップ、トークンの購入、投票、資金の配分は、技術的には完全に有効な取引でした。

BonkDAOがガバナンス攻撃を受け、国庫から約2000万ドルが奪われる

BonkDAOの公式Xアカウントは7月6日に攻撃を受けたことを確認し、これは「悪意のあるガバナンス提案（malicious governance proposal）」であり、約2000万ドルのBONKが国庫から移動されたと推定しています。盗まれたトークンはすぐに取引所に流れ込み、市場での売り圧力が現れ、BONKの価格は24時間以内に約7%から10%下落し、約0.0000043ドル付近にまで落ち込み、歴史的な高値0.000058ドルから約93%低下しました。

移動されたトークンは4.4兆枚のBONKです。評価は時間や情報源によって若干異なるため、金額の記述は約1930万ドルから2120万ドルの間であり、一般的には「約2000万ドル」とまとめられています。

BONKは2022年12月にSolana上で発表された有名な犬のミームコインで、大規模なコミュニティエアドロップで知られ、長らく市場で代表的なミームコインの一つと見なされ、いくつかのETFにも組み込まれています。

攻撃メカニズム：Proposal #76「Sowellian BonkDAO」に隠された悪意の指令

攻撃の核心的なツールは、「BIP #76 - Sowellian BonkDAO」と呼ばれるガバナンス提案です。表面的な文言では、「Sowellianガバナンス」の導入、委員や理事の交代、再構築、保有資産の貨幣化、損失の停止など一連の改革テーマを提唱しています。文面から見ると、ガバナンスの動議というよりも、むしろ情熱的な宣言のようで、「灰の中から再建し、保有資産を貨幣化し、失血を止める」と書かれており、「賛成票」を投じた参加者全員にBONKトークンの報酬を受け取る資格があると約束しています。

本当に問題なのは、提案の下に隠された実行指令であり、4.43兆枚のBONKを攻撃者のウォレットに直接転送するトランザクションです。これが提案の唯一の実質的な効果を持つ行動であり、提案が作成された時点から設定されていた真の目的です。BonkDAOの説明によれば、この国庫を空にする指令は、2番目の実行ステップに挟まれており、最も目立つ位置には置かれていないため、一目で見抜かれる可能性がさらに低くなっています。言い換えれば、これは資金を盗む指令の提案であり、ガバナンス改革の外衣を被せられています。

攻撃者が購入した票数で提案が通過すると、この指令は自動的にチェーン上で実行され、誰も再確認する必要がありません。したがって、資金は米東部時間の7月6日午前4時頃に「JHvQ」で終わる攻撃者のウォレットに直接流入しました。賛成票を投じた者に約束されたトークンの配分は、もちろん支給されません。

攻撃者は事前に「買票」し、コミュニティの監視を回避

ChainalysisやLookonchainなどのオンチェーン分析によると、この攻撃は約1週間にわたる計画的な行動でした：

6月30日、匿名のウォレットがガバナンスプラットフォームにこの提案を提出しました。提案を通過させるには、最低1%のトークン供給量の閾値、約879.95億枚のBONKの賛成票が必要です。

そのため、7月4日から5日の2日間、別のウォレットがBybitとBinanceの2つの取引所を通じて約882.38億枚のBONKを購入し、約440万ドルを費やし、ちょうど閾値を超える票数を蓄積しました。Lookonchainによれば、攻撃者はDeFi貸付プラットフォームを通じてさらに多くのトークンを借り入れた可能性もあります。この一連の行動は取引所のウォレットを通じて分散して行われ、コミュニティはほとんど気づかないうちに、投票結果を左右するのに十分な保有量を静かに蓄積しました。

最終的に提案はわずかな差で通過しました：882.38億枚の賛成票に対し、879.95億枚の閾値、ほぼ攻撃者が数日間蓄積した保有量と一致しています。さらに注目すべきは投票構造そのものです：全体でわずか7つのウォレットが投票し、1.8万人以上のメンバーはまったく参加せず、投票率は約2.9%で、「賛成」の割合は99.9%に達しました。言い換えれば、このいわゆる「コミュニティの合意」は、実際には攻撃者自身が自分自身と合意した結果に過ぎません。

国庫を空にした後、攻撃者は手元のトークンを2つの全く異なる方法で処理しました。

国庫から奪った約2000万ドルのBONKについて、攻撃者の大部分はすぐに現金化しませんでした。Chainalysisによれば、成功から約9時間後、そのうち約18.8万ドルが取引所に送られ（現金化に使用される可能性があります）、残りの約1900万ドルは多重署名の承認が必要な「マルチシグウォレット」に保管されました。その間、資金は「eh42」で終わる別のアドレスに一時的に移転されました。

当初、票を購入するために自ら購入したBONKについて、攻撃者は急いで処分しました：国庫を空にした約1時間後に、このトークンを売却し、約530万ドルを売り上げました。言い換えれば、攻撃者は奪った国庫のトークンを残しましたが、国庫を奪取するために使用した保有量はすぐに売却しました。

取引所と公式もすぐに反応しました。UpbitとKrakenは安全事件のプロセスに従い、BONKの入出金を一時停止しました。BonkDAOの公式は、法執行機関に通報し、攻撃者が投票前に使用した取引所のウォレットをロックし、取引所、クロスチェーンブリッジ、Solana財団と協力して資金を回収し、責任の所在を明確にする作業を進めています。

結論

この事件は、古くからの議論に再び火をつけました。すべてのステップ、トークンの購入、投票、資金の配分が技術的に合法的かつ有効な取引であるため、一部のオンチェーン観察者は、攻撃者は脆弱なガバナンス設計を利用しただけであり、「侵入した」のではないと考えています。しかし、BonkDAOと多くの分析機関は依然としてこれを明確に攻撃と定義しており、法執行機関の介入もこの立場を反映しています。

オンチェーンガバナンスは数年前にコミュニティの自治の未来として称賛され、トークン保有者が資金の行き先を決定する理想を象徴していました。しかし、BonkDAOの事件は再び暗号産業の核心的な問題を浮き彫りにしました。「誰でもお金を使って参加できる」公開投票に金庫の鍵を渡す場合、十分な監視メカニズムが欠如していると、提案内容の実質的な審査や、より高い通過閾値、資金配分前のタイムロックや人工的な再確認など、どんなに正当なガバナンスの理想も、攻撃者にとって最も使いやすい道具となる可能性があります。