Proposta maliciosa de governança drena cerca de US$ 20 milhões do tesouro da BonkDAO na Solana

Uma única proposta maliciosa de governança retirou aproximadamente US$ 20 milhões do tesouro da BonkDAO na terça-feira, expondo como os sistemas de voto ponderado por tokens na Solana podem operar com margens de segurança estreitas. Segundo detalhes do relato original, o responsável acumulou discretamente um bloco de votação ao comprar cerca de US$ 4 milhões em BONK — volume suficiente para direcionar o resultado — e então levou adiante a medida. A perda ocorre em um momento delicado. O BONK segue entre as maiores memecoins da Solana em valor de mercado, e a DAO administra um tesouro voltado a financiar grants do ecossistema, incentivos de liquidez e ações de marketing. O fato de um único voto ter permitido a saída de US$ 20 milhões enfraquece a premissa de que grandes detentores de tokens, por si só, funcionam como proteção confiável aos cofres comunitários. Como o ataque aconteceu Não houve exploração de falha em smart contract. O caminho foi mais direto: adquirir tokens de governança em quantidade suficiente para dominar a votação. Após montar a posição de aproximadamente US$ 4 milhões em BONK, a entidade submeteu uma proposta de transferência do tesouro com aparência padrão. Encerrado o período de votação, o tesouro transferiu cerca de US$ 20 milhões em BONK para endereços sob controle do atacante. A BonkDAO informou que identificou contas em exchanges usadas para montar o bloco de votação antes do envio da proposta. A organização diz estar coordenando ações com exchanges, bridges e a Solana Foundation para congelar ou rastrear os recursos. O fator tempo é crítico: equipes de compliance costumam ter uma janela curta para sinalizar saques suspeitos antes que os ativos passem por mixers ou rotas cross-chain. A fragilidade da governança por voto ponderado DAOs baseadas em modelos de token voting puro são alvo de críticas há anos, e o segmento de memecoins tem sido especialmente lento para adotar proteções como timelocks, quóruns atrelados à participação ativa ou revisões em múltiplas etapas. Muitas DAOs de memecoin priorizam velocidade e engajamento da comunidade, não a segurança do tesouro. O episódio reforça um padrão apontado repetidamente por pesquisadores de governança: um agente bem capitalizado pode comprar tokens suficientes para aprovar quase qualquer proposta em redes onde o poder de governança é barato e a concentração é baixa. Embora o tesouro da BonkDAO seja relevante, a liquidez do token de governança não tornou difícil ocultar a compra de US$ 4 milhões até o fechamento da votação. Ainda assim, a atividade mais ampla de DeFi e desenvolvimento na Solana permanece forte. Como observou o BlockchainReporter em uma análise recente sobre as principais blockchains por atividade de desenvolvedores, a Solana continua atraindo interesse consistente de builders — uma dinâmica que independe do componente especulativo que costuma influenciar tesouros de memecoins. Recuperação e próximos passos A principal incógnita é quanto do BONK drenado poderá ser recuperado. Exchanges centralizadas que mantenham contas ligadas ao atacante podem congelar saldos remanescentes, mas, se os tokens já tiverem sido retirados das plataformas ou vendidos, as chances caem rapidamente. A participação da Solana Foundation sugere alguma possibilidade de congelamento on-chain, embora um adversário determinado provavelmente tenha considerado esse risco. Também permanece em aberto como a BonkDAO vai ajustar seus parâmetros de governança. A comunidade tende a pressionar por limiares mais altos para propostas e por períodos obrigatórios de espera, mas qualquer mudança exige outra votação — o mesmo mecanismo que acabou de ser comprometido. No curto prazo, uma alternativa seria adotar um "override" via multisig controlado por um grupo restrito de colaboradores de confiança; a medida centraliza o controle, mas pode ganhar tempo enquanto correções permanentes são debatidas. Para o corredor de memecoins na Solana, o ataque deixa um recado claro: tamanho de tesouro não substitui segurança de tesouro. Outras DAOs com reservas de tokens na casa de oito dígitos devem enfrentar pressão para explicar por que seus modelos de governança não podem ser manipulados com uma fração do valor que guardam.