Attacco di Governance a BonkDAO
Il 6 luglio 2026, un attaccante ha speso circa quattro milioni di dollari per acquistare il token BONK, utilizzandolo per controllare quasi il 100% di un voto su sette portafogli, e ha legalmente sottratto venti milioni di dollari dal tesoro del DAO. Nessun codice è stato violato; il voto ha funzionato esattamente come previsto. In questo articolo esploreremo come funzionano gli attacchi di governance, perché stanno diventando sempre più comuni e quali misure possono effettivamente prevenirli.
Cos’è un Attacco di Governance?
La maggior parte dei furti di criptovalute avviene a causa di un bug nel contratto intelligente, di una chiave rubata o di un sito web contraffatto. Un attacco di governance, invece, non rompe nulla. Sfrutta il sistema di voto di un’organizzazione decentralizzata, esattamente come previsto, per approvare una proposta che consegna al ladro il tesoro. Il codice funziona perfettamente e le regole sono seguite alla lettera, ma il denaro esce comunque, perché le stesse regole lo hanno permesso.
Questo è ciò che è accaduto a BonkDAO il 6 luglio 2026. L’attaccante ha silenziosamente acquistato circa quattro milioni di dollari del token BONK su vari exchange in diversi giorni, accumulando una quota dominante di potere di voto, e ha presentato una proposta al tesoro del DAO.
Meccanismo dell’Attacco
Quando il voto si è chiuso, i portafogli collegati all’attaccante controllavano circa il 99,878% dei voti espressi. La proposta è stata approvata e circa venti milioni di dollari in BONK sono stati drenati dal tesoro verso portafogli controllati dall’attaccante. Solo sette indirizzi hanno votato. Non c’era alcun exploit nel senso tradizionale; si è trattato di una presa di controllo eseguita attraverso la porta principale.
Perché gli Attacchi di Governance Sono Comuni?
Gli attacchi di governance stanno diventando più comuni proprio perché non richiedono abilità tecniche d’élite, ma solo capitale e un sistema di voto mal difeso. Un numero crescente di DAO, molti dei quali sono progetti di memecoin con enormi tesorerie, utilizza esattamente tali sistemi. Questa guida spiega cosa sia un attacco di governance, analizza il caso di BonkDAO in dettaglio, copre le principali varianti, inclusa la versione del prestito flash che non richiede alcun capitale iniziale, esamina il record storico da Beanstalk a Compound fino a Tornado Cash, e delinea le difese che funzionano effettivamente, insieme alle ragioni per cui sono così raramente completamente implementate.
La Vulnerabilità del Voto Ponderato
La vulnerabilità principale è quasi sempre il voto ponderato per token, il modello predefinito in cui un token equivale a un voto. Questo modello presume silenziosamente che i grandi detentori siano allineati con il successo del protocollo, perché hanno denaro in gioco. Quella supposizione fallisce completamente contro un attaccante che non si preoccupa del futuro del protocollo e vuole solo controllare un voto abbastanza a lungo da drenare il tesoro.
Per quell’attaccante, acquistare token non è un investimento nel progetto; è l’acquisto di un’arma, scartata nel momento in cui ha sparato.
Le Difese Contro gli Attacchi di Governance
Se le difese sono note, una domanda legittima è perché gli attacchi di governance continuano a avere successo. La risposta è che ogni difesa sacrifica qualcosa che un DAO valuta, e i compromessi sono genuinamente scomodi, motivo per cui molti progetti li rimandano fino a quando un attacco non costringe la questione.
Le principali difese includono:
- Timelock: Impone un ritardo obbligatorio tra l’approvazione di una proposta e la sua esecuzione.
- Requisiti di quorum: Stabilisce un importo minimo di partecipazione al voto affinché una proposta venga approvata.
- Controlli di emergenza: Un controllo multisignature su grandi movimenti di tesoreria.
- Limitazioni sulle proposte: Riduce il premio che un attaccante può ottenere.
Conclusione
Il contesto più ampio è che la governance sta diventando un obiettivo più grande man mano che i DAO detengono più valore. Gli attacchi non scompariranno, perché l’incentivo è strutturale e la configurazione più economica è la più vulnerabile. Ciò che cambia, DAO per DAO, è se il tesoro si trova dietro difese proporzionate alla sua dimensione, o dietro un voto che quattro milioni di dollari e una stanza vuota possono vincere.
La lezione di venti milioni di dollari di BonkDAO è che la cassetta delle lettere, nelle mani sbagliate e con abbastanza token dietro di essa, apre la cassaforte.
Disclaimer: Questo articolo è solo a scopo informativo e non costituisce consulenza sugli investimenti. I mercati degli asset digitali sono volatili e puoi perdere l’intero investimento. Fai sempre le tue ricerche.
