著者：馬赫、Foresight News
8 月 7 日、韓国最大の暗号資産取引所 Upbit は公式発表を行い、9 月 7 日 15:00（韓国標準時）に BONK の取引サポートを終了すると発表した。対象は BONK/KRW および BONK/USDT の取引ペアで、出金サービスは 10 月 7 日まで維持される。Upbit は BONK を評価した結果、運営者が仮想資産の発行・送信・保存に使用する分散型台帳などにおいて、原因不明または未解決のハッキングなどの安全事故が発生していること、発行者または運営者が適切な電子送信媒体を通じて仮想資産の重要事項を適時に開示しなかったことなどの行為を確認した。総合的に考慮した結果、多くの不備が存在し、利用者に損失をもたらす可能性があると判断した。
発表後、BONK の価格は 0.0000028 ドルから 0.0000025 ドルへと約 10% 下落し、現在の時価総額は 2.2226 億ドルとなっている。
Foresight News は以前、この事件について詳しく報道している。『440万ドルで2000万ドルを強奪：BONKが遭遇した合法的強奪』という記事で、1か月前、BonkDAO は業界を震撼させたガバナンス攻撃を受け、約2000万ドルの財務資産が「合法的」に移転された。
BONK 攻撃者は累計約1358万ドルを現金化
6 月 30 日、攻撃者は Solana エコシステムのガバナンスプラットフォーム「Realms」に提案 BIP #76 を提出した。タイトルは「Sowellian BonkDAO」。この提案は表向きにはガバナンス最適化案を装っていたが、核心的な指示は BonkDAO の財務にある約 4.426 兆 BONK を攻撃者の管理するアドレスに直接送金することだった。当時の BONK 流通量は約 88 兆枚で、1％ の投票クォーラムは約 8800 億枚だった。攻撃者は 7 月 4 日から 5 日にかけて、Binance や Bybit などの取引所で買い集め、一部の DeFi ローンも活用して、累計約 8822.85 億 BONK を保有するに至った。取得コストは約 440 万ドルで、まさにクォーラム要件を満たす規模だった。
7 月 6 日、提案は投票に付された。全プロセスで参加したのはわずか 7 つのアドレスであり、攻撃者がコントロールするアドレスが賛成票の 99.878% を投じた。投票が可決されると、スマートコントラクトが即座に自動送金を実行し、約 4.426 兆 BONK（当時の価格で約 2000 万ドル）が財務から攻撃者のウォレットへ移転された。この全過程でタイムロック（timelock）は一切作動せず、追加のマルチシグや人手による審査もなかった。
資金を入手すると、攻撃者は迅速に動いた。送金完了から約 9 時間以内に、約 19 万ドル相当の BONK が OKX に送金された。残りの約 1900 万ドル相当は新たに作成されたマルチシグウォレットに移され、Chainalysis はこれを「BONK 2.0」シャドー DAO と表現している。このウォレットは、悪意のある投票用ウォレット、資金受信用ウォレット、および投票用アドレスと資金的な関連を持つ第三者のアドレスによって共同管理されていた。
同時に、攻撃者は投票権取得のために購入した BONK の売却を開始した。投票完了から約 1 時間後、関連アドレスは約 530 万ドル規模のポジションの清算を開始した。その後数週間にわたり、オンチェーンモニタリングにより、攻撃者が Coinbase などのプラットフォームへ継続的に資金を移動させていることが確認された。
7 月 17 日、攻撃者は 1.186 兆 BONK（価値約 411 万ドル）を Binance に送金した。
7 月 19 日、オンチェーンアナリストの余烬（Yujin）のモニタリングによると、BONK 財務の攻撃者が再び 4000 億 BONK（価値約 111 万ドル）を Coinbase に送金した。関連トークンが財務から流出してからの 12 日間で、BONK 価格は 0.0000047 ドルから 0.0000027 ドルへと、累計約 41％ 下落した。
7 月 20 日、その攻撃者は保有資産をすべて売却し、30 分前には最後の 4000 億 BONK（117 万ドル）も Coinbase に入金した。
データ統計によると、この攻撃者の累計現金化額は約 1358 万ドルに達する。
難易度が高く、資金回収の目途は立たず
Bonk 公式は事件発生後すぐに声明を出し、「BonkDAO が悪意のあるガバナンス提案を受け、約 2000 万ドル相当の BONK が財務から流出した」ことを確認した。チームは、攻撃者が事前にポジションを構築するために使用した取引所ウォレットのアドレスを特定し、法執行機関に通報しており、取引所、クロスチェーンブリッジ、Solana 財団と連絡を取り合い、資金の回収と責任者の特定に努めていると述べた。
7 月 13 日、BonkDAO はその後の最新情報を発表した。関連ウォレットはタグ付けされ継続的に監視されており、チームはあらゆる可能な回収手段を模索していること、BONK トークン自体とユーザーの個人資産は影響を受けておらず、トークンコントラクトは安全であることを強調した。また、今後正式な事後分析レポートを発表する予定で、プロジェクト側はコミュニティに対してガバナンスメカニズムの改善に関心を寄せるよう呼びかけた。
7 月 23 日、公式はさらに態度を表明し、回収作業が継続中であることを確認した。
現在までのところ、多額の資金が財務に正常に返還されたという公式発表は公開ルートでは確認されておらず、大規模な資金の凍結や回収に成功したという正式な確認もまだない。
7 月 7 日、一部の取引所はほぼ同時に BONK を取引注意銘柄に指定した。1か月後、Upbit は問題が解消されていないと判断し、韓国で初めて正式に取引サポートの終了を決定した。韓国では2024年7月に「仮想資産利用者保護法」が施行されて以降、DAXA（韓国デジタル資産取引所連合会）は重大なガバナンス脆弱性やセキュリティ上の懸念があるプロジェクトに対して厳格な法的義務を負っている。Upbit はコンプライアンス上のリスク回避と法的な強制審査に基づき BONK を除外した。
現在、他の取引所はまだ当面の行動を起こしていない。
指摘すべきは、送金がオンチェーンガバナンスのルールに完全に従って自動実行されたため、回収の難易度が従来のハッキング事件に比べて著しく高い点である。
攻撃者は十分な投票権（供給量の約1％）を購入し、提案を提出し、投票で可決させ、スマートコントラクトが自動的に送金を実行した。この全プロセスは、当時の BonkDAO の Realms 上のガバナンスルールに完全に準拠していた。秘密鍵の漏洩も、コントラクトの脆弱性も、権限を超えた呼び出しもなかった。ほとんどの法域では、純粋なガバナンス攻撃に対する姿勢は依然として保守的であり、裁判所は「コード・イズ・ロー＋投票可決」を伝統的な窃盗ではなく有効な内部意思決定と見なす傾向にある。これにより、刑事事件としての立件や民事上の資産凍結の実効性が著しく弱まっている。
オンチェーンデータを見ると、攻撃者はすでに一部の資産の売却と移転を完了しており、凍結可能な資産規模はさらに縮小している。加えて、攻撃者の身元は公開されておらず、クロスボーダーでの執行コストの高さや時間がかかるといった要因から、大部分の損失を回収できる可能性は低い。
ガバナンス問題の早急な解決が必要
この事件の中核的な論点は、投票のハードルが低すぎ、参加率が極めて低く（わずか約2.9％のメンバーが参加）、タイムロックや異常な提案を遮断する仕組みが欠如している場合、攻撃者は440万ドルで2000万ドルの資産を動かすことができ、費用対効果が極めて高く、かつ全過程がコンプライアンスに準拠していた点にある。
大規模な財務を保有する DAO は、長期間にわたって投票参加率が極めて低く、定足数も非常に低く設定されている場合、財務の支配権を公開市場にさらしているに等しい。短時間で最低限のトークンを集中的に買い集められる者が、財務を奪う可能性がある。これは理論上のリスクではなく、すでに実証された実行可能な経路である。
もし財務に 3～7 日間、あるいはそれ以上の実行遅延が設けられていれば、コミュニティやプロジェクト側は少なくとも異常を発見し、緊急投票で否決するか、マルチシグで介入する時間があっただろう。現実には、多くの成熟した DAO（特に大きな財務を持つもの）では、財務に関連する提案にタイムロックを必須で付加している。
コミュニティの活動性が長期的に低迷している場合、単にトークン加重投票に依存することは、実質的に「人」ではなく「金」でガバナンスを決定していることを意味する。財務規模が大きいプロジェクトでは、プロジェクト側はより高い定足数と二重のハードル（一定の投票権比率と、一定数の独立したアドレスの両方を満たすこと）の導入を検討すべきである。さらに、大口の提案に対しては、マルチシグ委員会などの追加の承認メカニズムを追加することも可能である。
ガバナンスセキュリティは事後的な対応で完全に解決できるものではなく、設計段階から「最悪のシナリオ」を想定して検討されなければならない。
