Seit Jahren fördern dezentrale autonome Organisationen (DAOs) tokenbasierte Governance als eine überlegene Alternative zur zentralisierten Entscheidungsfindung. Die Prämisse ist einfach:
Token-Inhaber stimmen über Vorschläge ab, und Smart Contracts führen das Ergebnis automatisch aus, sobald vordefinierte Bedingungen erfüllt sind.
Doch im Juli 2026 zeigte BonkDAO, wie dieselbe Automatisierung zur Schwachstelle werden kann.
Anstatt eine Schwachstelle im Code auszunutzen, nutzte ein Angreifer den Governance-Prozess selbst aus und gab ungefähr 4,4 Millionen US-Dollar aus, um genügend Stimmkraft zu sammeln, um einen Vorschlag zu genehmigen, der fast 20 Millionen US-Dollar an BONK aus der DAO-Kasse in eine Geldbörse übertrug, die unter seiner Kontrolle stand.
Jede Transaktion folgte den Protokollregeln.
In dem herkömmlichen Sinne wurde nichts gehackt.
BULL MARKET | Solanas BONK wird nach einem Anstieg von über 650% in den letzten 30 Tagen zum 3.-größten MemeCoin
Im Klaren ausgeführt
Der Vorfall entfaltete sich über mehrere Tage.
Am 30. Juni 2026 reichte eine anonyme Wallet einen Governance-Vorschlag ein, in dem beantragt wurde, dass ungefähr 4,43 Billionen BONK-Token aus der DAO-Kasse in eine von ihr kontrollierte Wallet übertragen werden.
Normalerweise wäre zu erwarten, dass so ein Vorschlag scheitert. Stattdessen begann der Angreifer, die Abstimmung still und leise vorzubereiten.
In den folgenden Tagen häufte eine weitere Wallet gerade etwas mehr als 1% der gesamten BONK-Tokenmenge an—genau die Menge, die erforderlich war, um die Quorum-Anforderungen der DAO zu erfüllen. Die Käufe, die auf rund 4,4 Millionen US-Dollar geschätzt wurden, erfolgten über zentralisierte Börsen einschließlich Binance und Bybit; zusätzliche Liquidität soll aus DeFi-Kreditmärkten bezogen worden sein.
Sobald die Abstimmung geöffnet war, setzte der Angreifer praktisch die gesamte neu erworbene Position zugunsten des Vorschlags ein.
Trotzdem hatte BonkDAO mehr als 18.000 Mitglieder; an der Abstimmung nahmen jedoch nur sieben Wallets teil. Die Beteiligung lag nur bei 2,9%, sodass ein einzelner großer Wähler das Ergebnis dominieren konnte.
Der Vorschlag wurde mit etwa 99,9% Zustimmung angenommen und räumte das Quorum nur knapp, bevor der Governance-Contract die Übertragung der Kasse automatisch ausführte. Ungefähr 20 Millionen US-Dollar an BONK-Tokens wurden unmittelbar in die Wallet des Angreifers verschoben, ohne zusätzliche Genehmigungen oder menschliches Eingreifen.
Innerhalb von Stunden begann der Angreifer, die Position abzuwickeln, die genutzt wurde, um Stimmrechte zu erlangen, während er die Kontrolle über die Vermögenswerte der Kasse behielt.
Weniger als 1% der Mitglieder in den meisten DAOs haben 90% Stimmkraft, sagt der neueste Chainalysis-Report
Kein Smart-Contract-Exploit ausgenutzt
Vielleicht ist der wichtigste Aspekt des Vorfalls, was nicht angegriffen wurde.
In Solana gab es keine Schwachstelle
Es gab keinen Exploit des Governance-Smart-Contracts
Es kam nicht zu einem Kompromittieren privater Schlüssel
Stattdessen folgte der Angreifer einfach den Regeln der DAO.
Das Governance-System von BonkDAO ging davon aus, dass jeder, der genug Tokens kontrolliert, den Willen der Community repräsentiert. Durch den zeitweisen Kauf ausreichender Stimmkraft wurde der Angreifer effektiv für die Dauer der Abstimmung zur Community.
Das Governance-System wurde genau so ausgeführt, wie es vorgesehen war.
Der BonkDAO-Exploit zeigt mehrere strukturelle Schwächen auf, die weiterhin viele DAOs betreffen.
1.) Stimmkraft kann gekauft werden
Im Unterschied zur traditionellen Aktionärs-Governance werden Blockchain-Tokens kontinuierlich auf offenen Märkten gehandelt.
Wenn Governance-Rechte direkt proportional zum Token-Besitz sind, wird der Abstimmungseinfluss zu einer Ware, die grundsätzlich jeder erwerben kann—manchmal auch nur vorübergehend.
Im Fall von BonkDAO ermöglichte das Ausgeben von rund 4,4 Millionen US-Dollar die Kontrolle über Vermögenswerte, die fast fünfmal so viel wert waren.
2.) Geringe Beteiligung führt zu Governance-Kapern
Obwohl BonkDAO Tausende berechtigte Mitglieder hatte, beteiligten sich nur wenige an der Abstimmung.
Das ist eine häufige Herausforderung bei vielen DAOs, bei der Governance-Ermüdung oft zu extrem niedriger Wahlbeteiligung führt.
Geringe Beteiligung reduziert die Kosten erheblich, um entscheidenden Einfluss zu erwerben.
Angreifer müssen nicht die gesamte Community überzeugen; es reicht, die vergleichsweise geringe Zahl aktiver Teilnehmer zu überstimmen.
In mehreren großen DAOs haben weniger als 1% aller Inhaber 90% der Stimmkraft pic.twitter.com/ME6vTkMz7F
— BitKE (@BitcoinKE) 2. Oktober 2022
3.) Automatisierung entfernt menschliches Eingreifen
Eines der prägenden Merkmale der Blockchain-Governance ist die automatische Ausführung.
Sobald ein Vorschlag die Quorum- und Abstimmungsanforderungen erfüllt, führen Smart Contracts die genehmigte Aktion umgehend aus.
Automatisierung verbessert zwar die Effizienz, nimmt aber auch die Möglichkeit zur menschlichen Prüfung, wenn böswillige Vorschläge unerwartet erfolgreich sind.
Als BonkDAO erkannte, was passiert war, war die Übertragung aus der Kasse bereits ausgeführt worden.
4.) Governance wird zu einer finanziellen Angriffsfläche
Historisch betrachtet lag der Schwerpunkt der Blockchain-Sicherheit auf Angriffen auf Smart Contracts, Schwachstellen in Bridges und dem Diebstahl privater Schlüssel.
Der BonkDAO-Vorfall zeigt ein anderes Bedrohungsmodell.
Anstatt Code anzugreifen, könnten Angreifer zunehmend Governance-Anreize, Liquidität, die Beteiligung der Wähler und das Design von Vorschlägen angreifen.
Während DAO-Kassen immer größer werden, wird Governance selbst zu einem wertvollen Ziel.
Das Problem mit der aktuellen DAO-Governance – ein Blick auf 3 aktuelle Fälle
Lehren
Der BonkDAO-Exploit ist mit hoher Wahrscheinlichkeit nicht der letzte Angriff auf die Governance.
Viele DAOs verlassen sich weiterhin auf tokengewichtetes Voting mit relativ geringen Quorumsvorgaben und führen nach erfolgreichen Abstimmungen sofort aus.
Der Vorfall wirft breitere Fragen auf, ob Governance-Systeme zusätzliche Schutzmaßnahmen einbauen sollten, wie zum Beispiel
längere Ausführungsverzögerungen,
mehrstufige Genehmigungen,
delegierte Sicherheitssachwalter,
identitätsbasierte Abstimmungsmechanismen oder
Beschränkungen für kürzlich erworbene Stimmrechte.
Jede Lösung führt Abwägungen zwischen Dezentralisierung und Sicherheit ein.
Die Herausforderung besteht darin, dass Governance-Systeme, die die zentrale Aufsicht ausschalten sollen, möglicherweise auch die Schutzmaßnahmen entfernen, die katastrophale Entscheidungen verhindern.
Die BonkDAO-Kasse wurde nicht geleert, weil die Blockchain-Technologie versagt hat.
Es wurde geleert, weil Governance-Anreize manipuliert wurden.
Der Angreifer erkannte, dass der Erwerb vorübergehender Stimmkraft deutlich günstiger war als der durch die Kasse gesicherte Wert, und nutzte dann die eigenen Regeln des Protokolls, um die Übertragung zu autorisieren.
Seit Jahren argumentiert die Krypto-Industrie, dass „Code Gesetz ist“.
Der BonkDAO-Vorfall vermittelt eine andere Erkenntnis:
Wenn Governance automatisiert ist, werden die Regeln selbst Teil der Angriffsfläche. Während sich DAO-Kassen weiter ausweiten, wird die Sicherheit dezentraler Protokolle zunehmend nicht nur von sicheren Smart Contracts abhängen, sondern von Governance-Modellen, die sowohl gegen wirtschaftliche Vereinnahmung als auch gegen technische Exploits widerstandsfähig sind.
FALLSTUDIE | Dieses große Blockchain-Ökosystem steht vor unbeabsichtigten Folgen dezentraler Governance
Bleib dran für BitKE bei DeFi-Updates.
Tritt unserem WhatsApp-Kanal bei hier.
Folge uns auf X für die neuesten Beiträge und Updates
Tritt unserer Telegram-Community bei und interagiere mit ihr
____________________________________