BonkDAO 金庫被盜 2000 萬美元：DAO 治理的致命漏洞終於曝光

一場投票就能搬走 2000 萬：BonkDAO 到底怎麼被攻破的？

你可能聽說了，BonkDAO 的金庫在前幾天被人搬空了將近 2000 萬美元的 BONK。訊息一出，整個 Solana 生態圈都在討論這件事——不是因為金額特別大，而是因為這次的攻擊方式實在太「光明正大」了。

老實說，這不是什麼高科技駭客手法。根據區塊鏈安全團隊的調查，攻擊者只是發動了一個 DAO 治理提案，然後在投票中透過了這個提案，就這樣把金庫裡的代幣轉走。對，就是這麼簡單。

問題來了：為什麼沒人阻止？答案是投票的人太少、少到可憐。根據 Wu Blockchain 的報導，這個提案的投票地址數量極少，但攻擊者掌控的投票權重卻高到誇張。說白了，這是一場「用少數票綁架整個金庫」的經典操作。

投票變成了最危險的攻擊向量

很多人以為 DAO 的安全靠的是多重簽名、冷錢包、或者智慧合約的程式碼審計。但 BonkDAO 這次的教訓告訴我們：治理機制本身就是最直接的攻擊路徑。

攻擊者只需要做幾件事：

• 先用約 400 萬美元買進足夠的 BONK 代幣，累積投票權
• 提案一個看似正常的「金庫運用」計畫
• 趕在社群反應過來之前，讓提案透過並直接執行

整個過程中，沒有駭入伺服器、沒有盜用私鑰、沒有什麼高科技漏洞。靠的就是「投票」這件事本身。

低參與率 = 最大的安全破口

這也是最讓人無奈的地方。很多 DAO 為了追求「去中心化」和「快速執行」，把投票門檻設得很低，提案透過後也能立刻執行。但當大多數代幣持有者根本懶得投票時，少數大戶或攻擊者就能輕鬆掌控局面。

BonkDAO 的案例就是最好的警訊：一個以「社群治理」為核心的組織，最後卻因為沒人參與投票，反倒成了駭客的提款機。

這不只是 BonkDAO 的問題，是所有 DAO 的噩夢

很多人可能會覺得，BonkDAO 是 meme 幣相關的 DAO，比較「隨便」一點情有可原。但事實上，所有握有大量Treasury（也就是金庫）的 DAO 都面臨同樣的風險。

根據 DeFiLlama 的資料，2024 年第二季度光是已知的安全損失就高達 7.8 億美元。橋樑漏洞、私鑰外洩、協議邏輯錯誤⋯⋯各種攻擊層出不窮。而 BonkDAO 這次的事件等於告訴大家：即使不用技術漏洞，光靠治理機制也能把你的錢搬走。

這對整個區塊鏈生態來說是個警訊。當越來越多專案方把資金交給 DAO 管理，卻沒有一套完善的安全機制時，這種「投票洗劫」只會越來越常見。

未來該怎麼辦？安全與效率的艱難取捨

那 DAO 到底要怎麼保護自己？答案其實不複雜，但執行起來會讓很多人不爽：

• 時間鎖（Timelock）：提案透過後，不要立刻執行，讓社群有時間反應
• 提高投票門檻：提高法定透過人數，避免少數人綁架
• 多簽把關：大額資金移動需要多重簽名確認，不能全靠投票
• 分離金庫：把資金分到不同桶子，限制單次提案能移動的金額上限
• 投票集中度警報：監控投票權是否過度集中在某些地址

但老實說，這些措施都會讓 DAO 變得「不那麼快」。以前提案透過後立刻就能執行，以後可能要等好幾天、甚至需要更多人投票才能過關。

問題是，經過 BonkDAO 之後，這種「摩擦」可能反而是必要的。

結語：去中心化的承諾與代價

這次事件最讓人感慨的是，BonkDAO 當初成立的使命是資助 BONK 的應用場景、Solana 公共建設、以及生態系專案。金庫裡的錢本來是要用來做這些事的。結果現在不僅資源受損，整個治理模式的可信度也受到重創。

所以說，DAO 的金庫有多「去中心化」，端看投票機制有多安全；而投票機制有多安全，則取決於投票延遲、審查視窗、以及失敗點的設計是否完善。這些機制，或許正是「去中心化」三個字真正的代價。

如果你也是 DAO 的成員或投資者，下次投票前，真的要多看一眼提案內容。不是每次提案都會讓你的金庫少一點錢——但萬一遇到了，後果可能就是好幾個零不見。

FAQ 常見問題

BonkDAO 被盜的 2000 萬美元能追回來嗎？

目前官方表示已經與多家交易所、橋樑、Solana 基金會以及執法單位合作，嘗試追蹤與凍結相關資產。但能否完整追回，仍是未知數。

DAO 投票被攻擊的常見手法有哪些？

除了這次「低參與率綁架」之外，常見手法還包括：閃電貸操縱投票、假身份多人投票、智慧合約漏洞繞過治理邏輯等。

一般投資人該如何評估 DAO 的安全性？

可以觀察幾個指標：投票門檻是否夠高、是否有時間鎖機制、大額資金移動是否需要多簽、治理歷史中是否有爭議提案被否決的紀錄等。