「合法な」強盗？攻撃者はチケットを購入してBonkDAOの国庫を空にした

著者： Chloe， ChainCatcher

2026年7月6日未明、SolanaエコシステムのミームコインBONKのコミュニティガバナンス組織BonkDAOがガバナンス攻撃に遭遇しました。攻撃者は「合法」とされるガバナンス提案を通じて、国庫から約4.4兆枚のBONKトークンを持ち去りました。この事件で最も注目すべき点は、スマートコントラクトの脆弱性ではなく、攻撃者が約440万ドルで「票」を購入し、約2000万ドルの資産を手に入れたことです。そして、買い、投票、資金配分の各ステップは、技術的には完全に有効な取引でした。

BonkDAOがガバナンス攻撃を受け、国庫から約2000万ドルが掏り取られる

BonkDAOの公式Xアカウントは7月6日に攻撃を受けたことを確認し、これは「悪意のあるガバナンス提案（malicious governance proposal）」であり、約2000万ドルのBONKが国庫から移動したと推定しています。盗まれたトークンはすぐに取引所に流れ込み、市場の売り圧力が現れ、BONKの価格は24時間以内に約7%から10%下落し、約0.0000043ドル付近にまで落ち込み、歴史的高値0.000058ドルから約93%低下しました。

移動されたトークンは4.4兆枚のBONKです。評価は時間や情報源によって若干異なるため、金額の記述は約1930万ドルから2120万ドルの間であり、一般的には「約2000万ドル」とまとめられています。

BONKは2022年12月にSolana上で発表された有名な犬のミームコインで、大規模なコミュニティエアドロップで知られ、長期的に市場で代表的なミームコインの一つと見なされ、いくつかのETFにも組み込まれています。

攻撃メカニズム：Proposal #76「Sowellian BonkDAO」に隠された悪意の指令

攻撃の核心ツールは、「BIP #76 - Sowellian BonkDAO」というガバナンス提案です。表面的な文言では、「Sowellianガバナンス」の導入、委員や理事の交代、再構築、保有資産の貨幣化、損失の停止など一連の改革テーマを提唱しています。文面から見ると、ガバナンスの動議というよりも、むしろ感情的な宣言のようで、「灰の中から再建し、保有資産を貨幣化し、出血を止める」と書かれ、賛成票を投じた参加者にはBONKトークンの報酬が与えられると約束されています。

本当に問題なのは、提案の下に隠された実行指令で、4.43兆枚のBONKを攻撃者のウォレットに直接転送するトランザクションです。これが提案全体で唯一実質的な効果を持つ行動であり、提案が作成された時点から設定されていた本当の目的です。BonkDAOの説明によれば、この国庫を空にする指令は、2番目の実行ステップに挟まれており、最も目立つ位置には置かれていないため、一目で見抜かれる可能性がさらに低くなっています。言い換えれば、これは資金を盗む指令の提案であり、ガバナンス改革の外衣をまとったものです。

攻撃者が購入した票数で提案が通過すると、この指令は自動的にチェーン上で実行され、誰も再確認する必要がありません。したがって、資金は米東部時間の7月6日午前4時頃に「JHvQ」で終わる攻撃者のウォレットに直接流入しました。賛成票者に約束されたトークンの分配は当然ながら行われません。

攻撃者は事前に「票」を購入し、コミュニティの監視を回避

ChainalysisやLookonchainなどのオンチェーン分析によれば、今回の攻撃は約1週間にわたる計画的な行動でした：

6月30日、匿名のウォレットがガバナンスプラットフォームにこの提案を提出しました。提案を通過させるには、最低1%のトークン供給量の閾値、約879.95億枚のBONKの賛成票が必要です。

そのため、7月4日から5日の2日間、別のウォレットがBybitとBinanceの2つの取引所を通じて約882.38億枚のBONKを購入し、約440万ドルを費やし、ちょうど閾値を超える票数を集めました。Lookonchainによれば、攻撃者はDeFi貸付プラットフォームを通じてさらに多くのトークンを借り入れた可能性もあります。この一連の行動は取引所のウォレットを通じて分散して行われ、コミュニティはほとんど気づかないまま、投票結果を左右するのに十分な保有量を静かに蓄積しました。

最終的に提案はわずかな差で通過しました：882.38億枚の賛成票に対し、879.95億枚の閾値、ほぼ攻撃者が数日間にわたって蓄積した保有量と同じです。さらに注目すべきは投票構造自体です：全体でわずか7つのウォレットが投票し、1.8万人以上のメンバーは完全に参加せず、投票率は約2.9%でしたが、「賛成」の割合は99.9%に達しました。言い換えれば、このいわゆる「コミュニティの合意」は、実際には攻撃者自身が達成した一致に過ぎません。

国庫を掏り取った後、攻撃者は手元のトークンを2つの全く異なる方法で処理しました。

国庫から奪った約2000万ドルのBONKについて、攻撃者の大部分はすぐに現金化しませんでした。Chainalysisによれば、成功から約9時間後、約18.8万ドルのみが取引所に送られ（現金化のためかもしれません）、残りの約1900万ドルは複数の署名が必要な「マルチシグウォレット」に保管されました。その間、資金は「eh42」で終わる別のアドレスに一時的に移転されました。

当初、票を購入するために自ら購入したBONKについて、攻撃者は急いで処分しました：国庫を掏り取った約1時間後に、このトークンを売却し、約530万ドルを売り上げました。言い換えれば、奪った国庫のトークンは残しましたが、国庫を奪取するために使用した保有量はすぐに手放しました。

取引所と公式もすぐに反応しました。UpbitとKrakenは安全事件のプロセスに従い、BONKの入出金を一時停止しました。BonkDAOの公式は、法執行機関に通報し、攻撃者が投票前に使用した取引所のウォレットをロックし、取引所、クロスチェーンブリッジ、Solana財団と協力して資金を回収し、責任の所在を明確にする作業を進めています。

結論

この事件は、古くからの議論に再び火をつけました。すべてのステップ、買い、投票、資金配分が技術的に合法的かつ有効な取引であるため、一部のオンチェーン観察者は、攻撃者は脆弱なガバナンス設計を利用しただけであり、「侵入した」のではないと考えています。しかし、BonkDAOと多くの分析機関は依然としてこれを明確に攻撃と定義しており、法執行機関の介入もこの立場を反映しています。

オンチェーンガバナンスは数年前、コミュニティの自治の未来として称賛され、トークン保有者が資金の行き先を決定する理想を象徴していました。しかし、BonkDAOの事件は再び暗号産業の核心的な問題を浮き彫りにしました。「誰でもお金を使って参加できる」公開投票に金庫の鍵を渡す場合、十分な監視メカニズムが欠如していると、提案内容の実質的な審査や、より高い通過閾値、資金配分前のタイムロックや人工的な再確認などがなければ、どんなに正当なガバナンスの理想も、攻撃者にとって最も使いやすい道具になり得るのです。