| Wat je moet weten |
|---|
| 1Een aanvaller haalde ongeveer 20 miljoen dollar uit de kas van BonkDAO. |
| 2De buit kostte circa 4,4 miljoen dollar aan vooraf gekochte stemmen. |
| 3Doelwit was BonkDAO, de organisatie achter de Solana-memecoin BONK. |
| 4De stemming sloot op 6 juli, daarna verdween het geld direct on-chain. |
Marktcontext per 18.10 CET. BONK noteert 0,00000423 dollar, 10,8 procent onder de 24-uurs high van 0,00000474 dollar. Het 24-uurs volume ligt rond 119 miljoen dollar. De geroofde 20 miljoen dollar staat gelijk aan 5,4 procent van de marktkapitalisatie van 372 miljoen dollar. Bron, CoinGecko.
Hoe de BonkDAO governance-aanval de stemregels uitbuitte
BONK is een memecoin op Solana. BonkDAO is de DAO, een organisatie die via tokenstemmen wordt bestuurd, die het project beheert. Wie genoeg tokens houdt, kan een voorstel indienen. Haalt dat voorstel de stemming, dan voert de blockchain het automatisch uit. Precies dat ontwerp werd het wapen. Op 30 juni diende een anonieme wallet een voorstel in, aldus Chainalysis. Dat wilde de kas naar een eigen adres sturen. Op 4 en 5 juli kocht een tweede wallet de benodigde stemmen. Die kocht BONK op Bybit en Binance. Ook leende de wallet bij via DeFi-leenplatformen, gedecentraliseerde markten voor lenen en uitlenen, zo meldt Crypto Briefing.
De sleutel was het quorum, de minimale opkomst voor een geldige stemming. Die lag op 1 procent van het aanbod. Het voorstel kreeg 882,38 miljard BONK aan ja-stemmen, net boven de drempel van 879,95 miljard. Zeven wallets stemden mee, tegenover ruim 18.000 leden die dat niet deden. De opkomst bleef zo op 2,9 procent steken. De uitslag toonde 99,9 procent ja, in feite een stem die het met zichzelf eens was. Kort na sluiting schoof ongeveer 20 miljoen dollar aan BONK de kas uit, documenteerde CoinDesk. Ruim een uur later begon de aanvaller zijn eigen aanvalspositie te verkopen, goed voor 5,3 miljoen dollar.
BonkDAO bevestigde de aanval en noemde het een kwaadaardig voorstel dat de kas leegde. Het team zei de gebruikte beurswallets te hebben herkend. Het werkt nu samen met beurzen, bridges en de Solana Foundation, schrijft crypto.news. Beurzen als Upbit en Bithumb bevroren stortingen en opnames van BONK, aldus The Crypto Times. Ook Bankless Times bericht over de omvang van de schade. Of dit diefstal is of misbruik van zwakke regels, daarover twisten waarnemers nog. Voor de kas maakt dat niets uit. Een kas die met een tijdelijke meerderheid te legen valt, is zo veilig als de prijs van die meerderheid.
Waarom de koersklap groter is dan de roof
De diefstal van 20 miljoen dollar is niet het volledige verlies. BONK verloor in 24 uur 8,45 procent, blijkt uit data van CoinGecko. Met een marktkapitalisatie van nu 372 miljoen dollar wist die daling ongeveer 34 miljoen dollar aan waarde uit. Dat overtreft de buit. Houders die niets fout deden betaalden zo de hoogste rekening, meer dan de dief ooit uit de kas haalde. De aanvaller zette circa 4,4 miljoen dollar in en kreeg grip op 20 miljoen. Dat komt neer op ruim vier keer de inzet, al bestaat de buit deels uit moeilijk te verkopen kastokens.
De aanval laat een breuk zien in het idee dat on-chain, direct op de blockchain vastgelegd, stemmen vanzelf veilig is. Zonder timelock, een verplichte wachttijd voor uitvoering, kon het voorstel meteen doorlopen. Zonder multisig, een slot dat meerdere handtekeningen vereist, ontbrak een tweede controle. Andere ketens worstelen met vergelijkbare vragen over bestuur en uitstroom, zoals we zagen bij de Cardano Leios-upgrade. Dunne liquiditeit maakt het erger. Anders dan Bitcoin, met diepe markten, beweegt een memecoin hard zodra iemand verkoopt. Ook de gekaapte liquiditeit rond nieuwe listings speelt mee, een thema dat we bespraken bij de Grove-listing op Coinbase.
Wat dit betekent voor de Nederlandse belegger
MiCA, het EU-kader voor crypto-activa, regelt sinds 1 juli de aanbieders in Europa. Een beurs als Bitvavo moet onder MiCA een vergunning hebben en risicowaarschuwingen tonen. Wie via zo’n aanbieder BONK kocht, valt onder toezicht van de AFM. Maar dat toezicht dekt de beurs, niet de kas van een DAO. Voor een kwaadaardig stemvoorstel bestaat geen schadefonds en geen terugboeking. De verantwoordelijkheid ligt bij de houder zelf. Dat verschil zagen we ook rond de MiCA-vergunning van Ripple, waar toezicht en tokenrisico los van elkaar staan.
Ook fiscaal telt de klap mee. In Nederland valt een BONK-positie in box 3, de heffing op vermogen. Wie op 1 januari tokens houdt, betaalt over de waarde op die peildatum, los van tussentijdse verliezen. Neem een positie van 1.000 euro in BONK. De daling van 8,45 procent op 24 uur veegde daar ongeveer 84 euro af, illustratief, geen advies. Bij zo’n dun token kan dat morgen weer omdraaien of verder zakken. Controleer daarom vooraf de stemregels en de liquiditeit van een project. Kijk ook of de kas een timelock en multisig gebruikt. Dat kost tijd, maar het is de goedkoopste verzekering die er is.
| Zo weeg je het risico van een kasroof |
|---|
| 1Controleer of een DAO een timelock en multisig gebruikt voor kasuitgaven. |
| 2Lees welke stemdrempel geldt, een laag quorum verlaagt de aanvalskosten. |
| 3Weeg de liquiditeit, een dunne memecoin beweegt hard bij verkoopdruk. |
| 4Bewaar alleen wat je kunt missen, kastokens bieden geen bescherming. |
| 5Check bij een NL-listing de risicowaarschuwing van de aanbieder. |
| 6Volg de officiële kanalen van het project voor bevestigde updates. |
Dit artikel is informatief en geen financieel advies. Beleggen in crypto-activa brengt risico op verlies met zich mee. Doe eigen onderzoek naar de voorwaarden, de fiscale gevolgen en de eigen risicobereidheid. Raadpleeg bij twijfel een onafhankelijk adviseur voordat je kapitaal inzet.
