Por Canuto  

La memecoin BONK enfrenta una de las lecciones más duras sobre gobernanza en cadena tras un ataque que permitió drenar cerca de USD $20 millones de su tesorería. El caso expone cómo una mayoría temporal comprada en el mercado puede bastar para convertir una votación válida en un golpe devastador para una DAO.

***

  • Un atacante gastó cerca de USD $4,4 millones para comprar suficiente BONK y alcanzar el quórum de una propuesta maliciosa.
  • La votación aprobó la transferencia automática de unos USD $20 millones desde la tesorería de BONK DAO hacia una billetera bajo control del agresor.
  • El episodio reabre el debate sobre si este tipo de maniobras constituye robo o una explotación de reglas de gobernanza mal diseñadas.

 

BONK DAO, la organización que gobierna a la memecoin BONK en Solana, sufrió un drenaje de tesorería de aproximadamente USD $20 millones tras la aprobación de una propuesta maliciosa. El incidente ocurrió luego de que un atacante comprara suficientes tokens para cumplir el quórum requerido y convertir una votación de baja participación en una orden ejecutable en cadena.

El episodio golpeó además al precio del token, que cayó 7% en las últimas 24 horas. Más allá de la reacción del mercado, el caso vuelve a poner bajo escrutinio el modelo de gobernanza tokenizada que muchas DAOs presentan como alternativa a las estructuras corporativas tradicionales.

Cómo se ejecutó el ataque contra Bonk

Según reportó CoinDesk, la secuencia comenzó el 30 de junio, cuando una billetera anónima presentó una propuesta para transferir los fondos de la tesorería a una dirección bajo control del atacante. La mecánica no requirió vulnerar contratos por la fuerza, sino usar las reglas ya existentes del sistema.

Para que la propuesta tuviera efecto, era necesario alcanzar votos afirmativos equivalentes al 1% del suministro de BONK. Ese umbral de quórum terminó siendo el punto crítico que hizo viable la operación.

Durante el 4 y 5 de julio, una segunda billetera adquirió exactamente esa cantidad de tokens. La compra habría costado cerca de USD $4,4 millones y, de acuerdo con datos citados en la cobertura original, se realizó en exchanges como Binance y Bybit.

Un seguimiento atribuido a Lookonchain indicó además que el agresor habría pedido prestados más tokens a través de plataformas DeFi. Esa combinación le permitió reunir la posición necesaria para convertirse, en la práctica, en el votante decisivo.

La propuesta llevaba por título “BIP #76 – Sowellian BonkDAO”. Su redacción prometía que la comunidad “renacería de las cenizas”, “monetizaría holdings” y “detendría la hemorragia”.

Sin embargo, la línea verdaderamente relevante era una instrucción para transferir 4,43 billones de BONK a la billetera del atacante. Esa orden pasó a ser ejecutable una vez que la votación fue aprobada.

Una votación válida, pero devastadora

El 6 de julio, el atacante ya tenía justo los tokens necesarios para inclinar la balanza. Emitió toda su participación a favor y la propuesta superó el quórum por el margen más estrecho.

La votación cerró con 882,38 mil millones de BONK a favor frente a un umbral de 879,95 mil millones. En otras palabras, el respaldo efectivo coincidió casi exactamente con la posición que el atacante había ensamblado en los días previos.

El resultado final mostró un 99,9% de votos a favor. Pero ese porcentaje es engañoso cuando se observa el contexto de participación real.

Solo siete billeteras participaron en la votación, mientras más de 18.000 miembros no lo hicieron. La participación total fue de apenas 2,9%, una cifra que dejó el destino de la tesorería en manos de una mínima fracción de la comunidad.

En sistemas de gobernanza onchain, las propuestas aprobadas pueden ejecutarse automáticamente. Eso fue precisamente lo que ocurrió en este caso, sin necesidad de intervención manual posterior.

Poco después de aprobarse la propuesta, aproximadamente USD $20 millones en BONK salieron de la tesorería y fueron enviados a una billetera controlada por el atacante. Cada paso quedó registrado como una transacción legítima dentro de las reglas del protocolo.

Qué hizo el atacante después del drenaje

Nueve horas después, cerca de USD $188.000 fueron enviados a un exchange, presuntamente para ser retirados. El resto, unos USD $19 millones, fue enviado a una billetera multifirma, según un seguimiento citado de Chainalysis.

El uso de una multifirma sugiere una fase posterior de resguardo o administración más cauta de los fondos. También puede dificultar o demorar cualquier intento de movimiento inmediato bajo presión pública.

Poco más de una hora después del drenaje, el atacante empezó además a vender los BONK que había comprado para ejecutar la maniobra. En total, se deshizo de aproximadamente USD $5,3 millones en esos tokens.

Ese detalle es importante porque muestra que no conservó la posición con la que tomó el control de la votación. Mantuvo los tokens extraídos de la tesorería, pero no la participación adquirida para aprobar la propuesta.

La relación entre costo y premio explica buena parte del problema. Si con cerca de USD $4,4 millones era posible capturar una tesorería valorada en unos USD $20 millones, el incentivo económico para intentar la maniobra era evidente.

El caso también ilustra que una DAO no necesita una falla clásica de software para perder fondos. A veces basta con una estructura de gobierno donde comprar una mayoría temporal sale mucho más barato que el valor protegido.

La respuesta de BONK DAO y el debate de fondo

BONK DAO confirmó el ataque y lo describió como una propuesta de gobernanza maliciosa que drenó un estimado de USD $20 millones de su tesorería. La organización dijo haber identificado las billeteras de exchange usadas para comprar tokens antes de la votación.

También señaló que trabajaba con exchanges, puentes y la Fundación Solana para gestionar las consecuencias. Esa respuesta apunta tanto a rastrear movimientos como a intentar contener posibles vías de salida para los fondos.

El episodio reavivó además una vieja discusión dentro del sector. Algunos observadores en cadena sostuvieron que el agresor no “forzó” nada, sino que explotó un diseño débil usando transacciones válidas.

Otros actores, entre ellos la propia BONK DAO y firmas de análisis, trataron el hecho como un ataque en toda regla. La participación de las fuerzas del orden refuerza que, al menos para los afectados, no se trata de una simple jugada oportunista.

La pregunta de si fue robo o explotación de reglas mal diseñadas seguirá abierta en ciertos círculos. Pero esa discusión no cambia el resultado material para la comunidad, que vio desaparecer una parte central de su tesorería.

La lección más clara es estructural. Una tesorería que puede vaciarse mediante una mayoría de voto temporal es tan segura como el costo de comprar esa mayoría, y en este caso ese costo fue muy inferior al botín disponible.

Por qué este caso importa para el ecosistema cripto

La gobernanza en cadena fue presentada durante años como una herramienta para coordinar comunidades sin depender de directivos tradicionales. En teoría, ese modelo alinea incentivos y distribuye el poder entre quienes poseen el token.

Sin embargo, el caso BONK muestra una fragilidad conocida, pero todavía poco resuelta. Si la participación es baja y el umbral exigido es modesto, un actor con suficiente capital puede comprar influencia durante el tiempo justo.

Eso no implica que toda gobernanza tokenizada sea inviable. Sí sugiere que las DAOs con tesorerías cuantiosas necesitan defensas adicionales, sobre todo cuando la ejecución de propuestas es automática.

Entre las medidas que suelen discutirse en la industria están los períodos de enfriamiento, los vetos de emergencia, la delegación más activa y los requisitos de quórum más robustos. Ninguna de esas herramientas aparece como elemento decisivo en el caso descrito.

También hay una dimensión cultural en el problema. Una comunidad con más de 18.000 miembros que deja una decisión crítica en manos de siete billeteras enfrenta un reto de participación, supervisión y lectura de propuestas.

Para el mercado, el incidente es otro recordatorio de que el riesgo en cripto no se limita a hacks técnicos o a la volatilidad del precio. La arquitectura institucional de los protocolos puede ser igual de determinante cuando están en juego fondos de tesorería.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA.

 


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados