By Met $4,4 miljoen aan tokens, een slim getimed voorstel en slechts zeven medestemmers haalde een onbekende aanvaller op 7 juli 2026 de volledige schatkist van BONK DAO leeg. Geen hack. Geen exploit. Alles volledig volgens de regels.
De meeste crypto-diefstallen volgen een herkenbaar patroon: een fout in de code, een vergeten beveiligingslaag, een slimme omweg langs een smart contract. De aanval op BONK DAO was anders. De aanvaller brak niets open. Hij klopte gewoon aan, volgde de procedure en liep daarna rustig weg met omgerekend twintig miljoen dollar.
Dat is precies wat deze zaak zo verontrustend maakt.
Wat is BONK DAO?
BONK begon in december 2022 als een memecoin op het Solana-netwerk, grotendeels als reactie op de ineenstorting van FTX. Waar andere memecoins puur speculatief waren, bouwde het BONK-team een actieve community op, met een eigen DAO als bestuursvorm. In een DAO, een Decentralized Autonomous Organization, kunnen tokenhouders stemmen over voorstellen die vervolgens automatisch worden uitgevoerd door smart contracts.
Het idee is democratisch: wie tokens heeft, heeft stemrecht. Hoe meer tokens, hoe meer invloed. Op papier klinkt dat eerlijk. In de praktijk bleek het een uitnodiging.
De aanval: stap voor stap
Blockchainonderzoekers reconstrueerden de aanval na de feiten. Het scenario was eenvoudig, maar effectief.
In de aanloop naar de stemming kocht de aanvaller systematisch BONK-tokens op via meerdere wallets. De totale investering bedroeg naar schatting $4,4 miljoen. Niet om te handelen, maar om stemrecht te vergaren. BONK DAO hanteert een token-gewogen stemsysteem: meer tokens betekent meer stemgewicht. Door genoeg tokens te accumuleren, kon de aanvaller een meerderheid bereiken zonder ook maar één andere grote tokenhouder aan zijn kant te hebben.
Vervolgens diende hij een bestuursvoorstel in. Het voorstel zag er op het eerste gezicht uit als een reguliere transactie, maar bevatte één cruciale instructie: stuur de volledige inhoud van de DAO-schatkist naar een door de aanvaller gecontroleerde wallet.
Het voorstel werd in stemming gebracht. Slechts zeven wallets namen deel aan de stemming. De aanvaller controleerde genoeg stemgewicht om de meerderheid te halen. Het voorstel werd goedgekeurd.
Het smart contract deed precies wat het moest doen: het voerde de instructie uit. 4,426 biljoen BONK-tokens, ter waarde van circa $20 miljoen, vertrokken automatisch naar de wallet van de aanvaller.
De wrange ironie: de aanvaller verdiende dubbel
Wat de zaak nog opmerkelijker maakt, is wat er daarna gebeurde. Nadat de stemming was gewonnen en de schatkist was leeggehaald, verkocht de aanvaller ook de BONK-tokens die hij had gekocht om de stemming te winnen. Daarmee recupereerde hij een deel van zijn initiële investering van $4,4 miljoen. De buit uit de schatkist bleef intact.
De aanvaller investeerde dus effectief een beperkt bedrag, gebruikte dat als hefboom om twintig miljoen te stelen, en verkocht daarna zijn investering weer. Een rendement dat elke hedgefondsbeheerder jaloers zou maken, ware het niet dat het om diefstal gaat.
De marktreactie was direct
Zodra het nieuws zich verspreidde, reageerde de markt onmiddellijk. De BONK-koers verloor meer dan 8% in de eerste 24 uur. Het Zuid-Koreaanse cryptoplatform Upbit schortte tijdelijk de BONK-stortingen en -opnames op, uit voorzorg voor verdere koersdruk door de gestolen tokens die richting beurzen bewogen.
De beweging van de gestolen BONK naar gecentraliseerde exchanges was een logische volgende stap voor de aanvaller: tokens omzetten in andere valuta of fiat, en zo de sporen uitwissen. BONK DAO, de Solana Foundation en verschillende exchanges werkten samen om de wallets te identificeren en de geldstromen te blokkeren. Opsporingsinstanties werden ingelicht.
Of dat tot terugvordering leidt, is onzeker. Bij dit soort aanvallen is de kans op herstel beperkt, zeker als de aanvaller gebruik maakt van mixers of cross-chain bridges om het spoor te verdoezelen.
Geen hack, maar een systeemfout
De meest pijnlijke conclusie is misschien wel dat BONK DAO technisch gezien niet is gehackt. Er was geen kwetsbaarheid in de code. Het smart contract functioneerde precies zoals ontworpen. De aanvaller volgde elke stap van het protocol correct.
Toch spreken zowel BONK DAO als blockchainonderzoekers van een aanval, omdat het stemsysteem bewust werd misbruikt voor een doel waarvoor het nooit bedoeld was: de schatkist leegmaken ten koste van de community.
Dit onderscheid is cruciaal. Een traditionele hack kun je repareren door de kwetsbaarheid te dichten. Maar wanneer het systeem zelf de aanvalsvector is, is de oplossing complexer. Je kunt de regels niet zomaar aanpassen zonder het principe van decentralisatie aan te tasten.
Wat ging er mis bij BONK DAO?
Drie structurele zwakheden maakten deze aanval mogelijk.
Lage opkomst als risicofactor. Slechts zeven wallets namen deel aan de stemming die $20 miljoen verplaatste. In een goed functionerende democratie zou zo’n lage opkomst de geldigheid van een besluit in twijfel trekken. In een token-gewogen DAO is lage participatie echter een uitnodiging voor wie bereid is genoeg tokens te kopen.
Geen tijdsvergrendeling op grote transacties. Veel DAO’s hanteren een zogenaamde timelock: een verplichte wachttijd tussen het goedkeuren van een voorstel en de daadwerkelijke uitvoering. Die wachttijd geeft de community de kans om een kwaadaardig voorstel te herkennen en te blokkeren. Bij BONK DAO ontbrak deze bescherming, of was ze onvoldoende, waardoor de uitvoering direct volgde op de goedkeuring.
Geen drempelwaarde voor grote uitbetalingen. Een eenvoudige beveiligingsmaatregel zou zijn: vereist een supermeerderheid of een minimale opkomst voor transacties boven een bepaald bedrag. Een voorstel om de volledige schatkist over te maken had nooit met zeven stemmen goedgekeurd mogen kunnen worden.
De bredere implicaties voor de DeFi-wereld
De aanval op BONK DAO is geen geïsoleerd incident. Vergelijkbare governance-aanvallen troffen eerder ook Beanstalk Farms (2022, $182 miljoen) en Build Finance DAO (2022, $470.000). Telkens was het mechanisme hetzelfde: koop stemrecht, dien een kwaadaardig voorstel in, win de stemming, haal de schatkist leeg.
Naarmate meer DeFi-protocollen miljarden aan waarde onder DAO-beheer plaatsen, wordt de vraag naar robuuste governance-structuren urgenter. Token-gewogen stemmen is democratisch in theorie, maar kwetsbaar in de praktijk wanneer stemrecht eenvoudig te kopen is.
Mogelijke oplossingen die in de industrie worden besproken, zijn onder meer:
| Maatregel | Werking | Nadeel |
|---|---|---|
| Timelock | Verplichte wachttijd voor uitvoering | Vertraagt ook legitieme besluiten |
| Quorumvereiste | Minimale opkomst voor geldigheid | Kan besluiten blokkeren bij lage participatie |
| Supermeerderheid | Hogere drempel voor grote transacties | Complexer bestuur |
| Gedelegeerd stemmen | Vaste vertegenwoordigers namens kleine houders | Centraliseert macht |
| Multisig-beveiliging | Meerdere handtekeningen vereist voor grote uitbetalingen | Vermindert snelheid en autonomie |
Geen van deze maatregelen is perfect. Elke extra beveiligingslaag brengt een afweging mee tussen veiligheid en de decentralisatie die DAO’s juist zo aantrekkelijk maakt.
Wat betekent dit voor BONK als token?
Op de korte termijn is de schade voor BONK-houders aanzienlijk. Niet alleen verloor de token meer dan 8% in waarde direct na de aanval, maar ook het vertrouwen in het project heeft een deuk opgelopen. De schatkist, bedoeld voor de ontwikkeling en groei van het ecosysteem, is grotendeels verdwenen.
Op de lange termijn hangt veel af van hoe BONK DAO reageert. Projecten die transparant communiceren, snel structurele verbeteringen doorvoeren en de community actief betrekken bij herstelmaatregelen, hebben historisch gezien een betere kans op herstel. Projecten die de zaak bagatelliseren of de verantwoordelijkheid afschuiven, verliezen het vertrouwen definitief.
BONK DAO heeft aangegeven samen te werken met exchanges, de Solana Foundation en opsporingsinstanties. Of dat tot daadwerkelijke terugvordering leidt, is op dit moment onzeker.
Conclusie: decentralisatie is geen garantie voor veiligheid
De aanval op BONK DAO illustreert een fundamentele spanning binnen het DeFi-ecosysteem. Decentralisatie is een ideaal: geen centrale autoriteit die besluiten neemt, geen single point of failure, geen vertrouwen nodig in een tussenpersoon. Maar decentralisatie zonder adequate governance-structuren creëert nieuwe kwetsbaarheden die net zo gevaarlijk zijn als een slecht geschreven smart contract.
Voor crypto-investeerders is dit een belangrijke les. Bij het beoordelen van een DeFi-project telt niet alleen de technologie, maar ook de manier waarop besluiten worden genomen. Wie controleert de schatkist? Hoeveel stemrecht is nodig om een voorstel door te drukken? Is er een timelock? Hoe actief is de community bij stemmingen?
De aanvaller van BONK DAO heeft deze vragen op de hardst mogelijke manier gesteld. Het antwoord dat de industrie geeft, zal bepalen hoe kwetsbaar de volgende DAO is.
