{"id":16987,"date":"2026-07-14T13:14:13","date_gmt":"2026-07-14T13:14:13","guid":{"rendered":"https:\/\/satoshibrother.com\/de\/der-bonk-governance-angriff-wie-ein-dao-20-millionen-dollar-durch-einen-vorschlag-verlor\/"},"modified":"2026-07-14T13:14:13","modified_gmt":"2026-07-14T13:14:13","slug":"der-bonk-governance-angriff-wie-ein-dao-20-millionen-dollar-durch-einen-vorschlag-verlor","status":"publish","type":"post","link":"https:\/\/satoshibrother.com\/de\/der-bonk-governance-angriff-wie-ein-dao-20-millionen-dollar-durch-einen-vorschlag-verlor\/","title":{"rendered":"Der BONK-Governance-Angriff: Wie ein DAO 20 Millionen Dollar durch einen Vorschlag verlor"},"content":{"rendered":"
\n

Der Vorfall bei BonkDAO<\/h2>\n

Am 6. Juli 2023<\/strong> \u00fcbertrug die Schatzkammer von BonkDAO<\/strong>, der Gemeinschaftsorganisation hinter einem der Flaggschiffe von Solana, etwa 20 Millionen Dollar<\/strong> in BONK an eine von einem Angreifer kontrollierte Wallet. Dabei wurde kein Smart Contract gehackt<\/strong>, kein privater Schl\u00fcssel geleakt<\/strong> und kein Phishing-Link aktiviert<\/strong>. Jeder Schritt der \u00dcbertragung war eine g\u00fcltige Transaktion, die genau den Regeln des DAO entsprach.<\/p>\n

Der Angreifer hat das Governance-System nicht gebrochen, sondern es f\u00fcr etwa 4,4 Millionen Dollar<\/strong> gekauft, was einer impliziten Rendite von fast f\u00fcnf zu eins entspricht. An der Abstimmung nahmen sieben Wallets<\/strong> teil, w\u00e4hrend mehr als 18.000 Mitglieder<\/strong> nicht abstimmten. Dieser Vorfall ist der klarste Beweis f\u00fcr eine unangenehme Wahrheit, die die Branche seit Jahren ignoriert: Eine Schatzkammer, die durch tokengewichtete Abstimmungen verwaltet wird, ist nur so viel wert wie die Kosten f\u00fcr die Bildung einer tempor\u00e4ren Mehrheit.<\/p>\n

Der Vorschlag und die Abstimmung<\/h2>\n

Am 30. Juni<\/strong> reichte eine anonyme Wallet einen Vorschlag im Governance-System von BonkDAO ein, das auf Realms, Solanas Standard-DAO-Tooling, basiert. Der Vorschlag mit dem Titel BIP #76<\/strong> stilisierte sich als Plan zur Erneuerung der Governance und kleidete den Diebstahl in die Sprache des Turnaround-Managements: neue F\u00fchrung installieren, den Rat umstrukturieren, Schatzkammerbest\u00e4nde monetarisieren, das Bluten stoppen.<\/p>\n

Er enthielt sogar eine Zeile, die darauf hinwies, dass Ja-W\u00e4hler Anspruch auf Token h\u00e4tten, ein Detail, das im Nachhinein wie ein dunkler Witz \u00fcber Incentive-Design wirkt. Unter der Rhetorik lag die entscheidende Klausel: eine Anweisung zur \u00dcbertragung von 4,43 Billionen BONK<\/strong>, dem Gro\u00dfteil der Schatzkammer, an eine Wallet, die der Vorschlagende kontrollierte.<\/p>\n

Der Vorschlag blieb sechs Tage<\/strong> lang aktiv. W\u00e4hrend dieses Zeitraums sammelte der Angreifer systematisch Abstimmungsmacht, indem er etwa 4,4 Millionen Dollar<\/strong> ausgab, um BONK \u00fcber B\u00f6rsen-Wallets zu kaufen. Dies entsprach etwas mehr als 1 % des Gesamtangebots<\/strong>, war jedoch entscheidend f\u00fcr die Quorum-Arithmetik des DAO.<\/p>\n

Die Ausf\u00fchrung des Vorschlags<\/h2>\n

Am 6. Juli<\/strong> gab der Angreifer den gesammelten Einsatz ab. Die endg\u00fcltige Z\u00e4hlung ergab 882,38 Milliarden BONK<\/strong>, w\u00e4hrend der Quorum-Schwellenwert bei 879,95 Milliarden<\/strong> lag \u2013 eine so enge Marge, dass der Angreifer genau die Anzahl der erforderlichen Stimmen kaufte und fast nichts mehr. Die Wahlbeteiligung betrug 2,9 %<\/strong>, der Ja-Anteil lag bei 99,9 %<\/strong>, was den Eindruck erweckt, als ob ein einzelner W\u00e4hler mit sich selbst \u00fcbereinstimmt.<\/p>\n

Das System funktionierte wie vorgesehen, was das gesamte Problem darstellt. Die auf Realms basierende Governance f\u00fchrt genehmigte Vorschl\u00e4ge automatisch aus. Kein Mensch hat zugestimmt, kein Rat hat die \u00dcbertragung \u00fcberpr\u00fcft, und keine Verz\u00f6gerung trennte Genehmigung von Ausf\u00fchrung.<\/p>\n

Fehlende Sicherheitsvorkehrungen<\/h2>\n

Die Schatzkammer wurde an eine Adresse mit der Endung JHvQ<\/strong> verschoben, die Ermittler auf Mittel von einem Bybit-Konto zur\u00fcckverfolgten, und Teile begannen innerhalb von Stunden in Richtung B\u00f6rsen zu flie\u00dfen. Drei fehlende Sicherheitsvorkehrungen verwandelten einen schlechten Vorschlag in einen ausgef\u00fchrten, und jede ist eine Standardkontrolle, die das DAO einfach nicht hatte:<\/p>\n

    \n
  • Zeitverriegelung:<\/strong> eine obligatorische Verz\u00f6gerung zwischen dem Bestehen eines Vorschlags und der Ausf\u00fchrung seiner Anweisungen.<\/li>\n
  • Multisig- oder Ratsveto:<\/strong> eine Notbremsvorrichtung, die es bestimmten Unterzeichnern erm\u00f6glicht, anomale Ausf\u00fchrungen einzufrieren.<\/li>\n
  • Quorum- und Teilnahme-Design:<\/strong> ein System, bei dem 1 % des Angebots<\/strong> eine bestehende Mehrheit gegen eine Wahlbeteiligung von 2,9 %<\/strong> bilden kann.<\/li>\n<\/ul>\n

    Die Lehren aus dem Vorfall<\/h2>\n

    Der tiefere Fehler liegt \u00fcber all diesen dreien: Die Gr\u00f6\u00dfe der Schatzkammer hatte keinen Bezug zu den Kosten, sie zu kontrollieren. BonkDAO hielt etwa 15 % aller zirkulierenden BONK<\/strong>, eine Kriegskasse, die in den Boomjahren des Tokens angesammelt wurde, verwaltet durch einen Mechanismus, dessen Erfassungskosten mit dem Preis des Tokens und der Aufmerksamkeit seiner Inhaber schwankten.<\/p>\n

    Die Arithmetik des Angreifers war \u00f6ffentliche Information. Jeder konnte berechnen, dass das Quorum, multipliziert mit dem Marktpreis, etwa 4 Millionen Dollar<\/strong> kostete, um es zu erf\u00fcllen, gegen eine Schatzkammer, die f\u00fcnfmal so viel wert war. Das einzige \u00dcberraschende an dem Angriff ist, dass es bis 2026<\/strong> gedauert hat.<\/p>\n

    Die Reaktion der Branche<\/h2>\n

    Im Jahr 2022<\/strong> nutzte ein Angreifer einen Flash-Kredit, um die Abstimmungskontrolle von Beanstalk, einem DeFi-Protokoll, zu \u00fcbernehmen und etwa 180 Millionen Dollar<\/strong> im selben Block abzuziehen. Die Reaktion der Branche damals war, die Flash-Kredit-Governance als den Fehler zu behandeln: Protokolle f\u00fcgten Abstimmungsverz\u00f6gerungen hinzu, die geliehene Token f\u00fcr eine sofortige \u00dcbernahme nutzlos machten.<\/p>\n

    Der Angreifer von BonkDAO ben\u00f6tigte keinen Flash-Kredit. Er nutzte geduldiges Kapital, echte K\u00e4ufe, die \u00fcber Tage gehalten wurden, was die Flash-Kredit-Abwehr vollst\u00e4ndig besiegte und zeigt, dass die Verwundbarkeit nie das Darlehen war. Es war der Markt f\u00fcr Stimmen selbst.<\/p>\n

    Die Debatte \u00fcber Diebstahl<\/h2>\n

    \n „Ein Vorschlag, der seinen Zweck falsch darstellt, Verm\u00f6genswerte an seinen Autor \u00fcbertr\u00e4gt und auf absichtlich niedriger Wahlbeteiligung beruht, ist Betrug in jedem Rechtssystem, das Menschen geschaffen haben.“\n <\/p><\/blockquote>\n

    Die Debatte ist praktisch wichtig, weil sie entscheidet, wo die Verteidigung stattfindet. Wenn dies Diebstahl ist, dann sind B\u00f6rsen, die Gelder einfrieren, wie Upbit, als sie die Einzahlungen und Abhebungen von BONK aussetzten, und die Strafverfolgung, die die Bybit-finanzierte Wallet verfolgt, das Immunsystem, das funktioniert.<\/p>\n

    Wenn dies die Regeln sind, die funktionieren, dann muss jede Verteidigung On-Chain leben, in Zeitverriegelungen und Vetos und Quorum-Design, und die Off-Chain-Wiederherstellung ist selbst der Angriff auf das System.<\/p>\n

    Die Zukunft von BonkDAO<\/h2>\n

    Der Token \u00fcberlebt; die Frage ist, ob die Institution es tut. Die Wiederherstellung, falls sie geschieht, wird an den Engp\u00e4ssen stattfinden, und die erste Woche zeigte sowohl ihre Macht als auch ihre Grenzen. Gestohlene Token, die sich in Richtung zentralisierter B\u00f6rsen bewegen, l\u00f6sten das Standardspielbuch aus: BonkDAO identifizierte die B\u00f6rsen-Wallets, die vor der Abstimmung verwendet wurden, um BONK zu sammeln, benachrichtigte die Strafverfolgung und koordinierte mit B\u00f6rsen, Br\u00fccken und der Solana-Stiftung.<\/p>\n

    Die Grenzen sind ebenso real. On-Chain-Mittel, die On-Chain bleiben, sind weiterhin nicht einfrierbar, und ein Angreifer mit 20 Millionen Dollar<\/strong> Geduld kann die Aufmerksamkeit abwarten, durch dezentrale Orte waschen oder \u00fcber Monate hinweg Liquidit\u00e4t in kleinen Mengen zuf\u00fchren.<\/p>\n

    Schlussfolgerung<\/h2>\n

    F\u00fcr alle anderen kostet die Lektion nichts und ist daher unbezahlbar. Jede DAO-Schatzkammer auf jeder Kette hat jetzt ein \u00f6ffentliches Zitat daf\u00fcr, was ihre Governance wert ist: den Marktpreis ihres Quorums. Wenn diese Zahl kleiner ist als die Schatzkammer, geh\u00f6rt die Schatzkammer nicht, sie wird gemietet, und die Miete ist das, was ein Angreifer f\u00fcr die Stimmen bezahlt. Die Mitglieder von BonkDAO lernten die Miete an einem Montag im Juli. Der Rest der Branche lernt es von au\u00dfen, was der einzige g\u00fcnstige Weg ist, wie die Lektion jemals gelehrt wird.<\/p>\n<\/article>\n","protected":false},"excerpt":{"rendered":"

    Der Vorfall bei BonkDAO Am 6. Juli 2023 \u00fcbertrug die Schatzkammer von BonkDAO, der Gemeinschaftsorganisation hinter einem der Flaggschiffe von Solana, etwa 20 Millionen Dollar in BONK an eine von einem Angreifer kontrollierte Wallet. Dabei wurde kein Smart Contract gehackt, kein privater Schl\u00fcssel geleakt und kein Phishing-Link aktiviert. Jeder Schritt der \u00dcbertragung war eine g\u00fcltige Transaktion, die genau den Regeln des DAO entsprach. Der Angreifer hat das Governance-System nicht gebrochen, sondern es f\u00fcr etwa 4,4 Millionen Dollar gekauft, was einer impliziten Rendite von fast f\u00fcnf zu eins entspricht. An der Abstimmung nahmen sieben Wallets teil, w\u00e4hrend mehr als 18.000 Mitglieder<\/p>\n","protected":false},"author":3,"featured_media":16986,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[64],"tags":[295,10580,62,65,2732,115,9998,9908],"class_list":["post-16987","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-hack","tag-bonk","tag-bonkdao","tag-bybit","tag-hack","tag-slowmist","tag-solana","tag-yu-jin","tag-yu-xian"],"yoast_description":"Erfahren Sie, wie BonkDAO 20 Millionen Dollar in einem Governance-Angriff verlor und dabei Schwachstellen im Treasury-Management und den Abstimmungssystemen von DAOs aufdeckte.","_links":{"self":[{"href":"https:\/\/satoshibrother.com\/de\/wp-json\/wp\/v2\/posts\/16987","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/satoshibrother.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/satoshibrother.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/satoshibrother.com\/de\/wp-json\/wp\/v2\/users\/3"}],"replies":[{"embeddable":true,"href":"https:\/\/satoshibrother.com\/de\/wp-json\/wp\/v2\/comments?post=16987"}],"version-history":[{"count":0,"href":"https:\/\/satoshibrother.com\/de\/wp-json\/wp\/v2\/posts\/16987\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/satoshibrother.com\/de\/wp-json\/wp\/v2\/media\/16986"}],"wp:attachment":[{"href":"https:\/\/satoshibrother.com\/de\/wp-json\/wp\/v2\/media?parent=16987"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/satoshibrother.com\/de\/wp-json\/wp\/v2\/categories?post=16987"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/satoshibrother.com\/de\/wp-json\/wp\/v2\/tags?post=16987"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}