Una wallet vació la tesorería de BonkDAO y se quedó con USD 20 millones

BonkDAO, la organización que administra la tesorería de la memecoin BONK, confirmó este 6 de julio que perdió un estimado de USD 20 millones después de que una wallet aprovechara una votación interna del proyecto para transferirse esos fondos. «BonkDAO fue blanco de una propuesta de gobernanza maliciosa que resultó en la sustracción de un estimado de USD 20 millones en tokens BONK de la tesorería de BonkDAO», señaló el equipo del proyecto en un comunicado publicado en la red social X.

Firmas de análisis on chain como Chainalysis y Look On Chain explicaron que una sola wallet logró inclinar a su favor una votación de gobernanza (una consulta pública en la que los poseedores de BONK deciden sobre el destino de la tesorería del proyecto) tras comprar suficientes tokens para hacerlo.

El precio de BONK cayó 10% tras conocerse el hecho y cotiza a USD 0,000004260 al cierre de esta nota. BONK ocupa el segundo lugar entre las memecoins de Solana por capitalización de mercado, con USD 375 millones, detrás de TRUMP, con USD 394 millones, conforme a datos de CoinMarketCap.

¿Qué decía la propuesta que nadie frenó?

En ese contexto, el investigador on chain Specter compartió una captura de pantalla de la propuesta de gobernanza. La iniciativa, identificada como BIP-76 (Bonk Improvement Proposal) y titulada «Sowellian BonkDAO», prometía, en sus propias palabras, «implementar la gobernanza Sowelliana, instalar nuevos miembros y un consejo, reconstruir desde las cenizas y monetizar las tenencias», además de «detener la sangría» financiera del proyecto. El texto agregaba que todos los votantes que eligieran la opción «sí» serían elegibles para recibir tokens, de acuerdo con la captura compartida por Specter.

Detrás de esas promesas generales estaba la instrucción de transferir 4.426.104.450.305 BONK, unos USD 20 millones al momento de la propuesta, a una dirección en específico. Esa dirección coincide con la wallet que Look On Chain identificó como receptora de los fondos sustraídos, aunque al momento de esta redacción solo tiene USD 118 en SOL.

La propuesta necesitaba que el 1% del total de BONK en circulación votara a favor para poder ejecutarse. Esa cifra funciona como el quorum de la votación (la cantidad mínima de votos, medida en tokens, que una propuesta necesita reunir para pasar) y equivalía a un umbral de 879,95 mil millones de tokens, conforme a la captura de Specter. La votación cerró con 882,38 mil millones de BONK a favor (99,9%) contra apenas 710,85 millones en contra (0,1%), un margen que dejó la aprobación apenas por encima del mínimo necesario.

BIP-76 se creó el 30 de junio y permaneció abierta a votación hasta el 6 de julio. En la sección de comentarios, solo un usuario, identificado como andrewsaul.sol, cuestionó la iniciativa: señaló que no había ninguna idea concreta sobre qué harían distinto respecto de la gestión anterior del proyecto.

¿Cómo se compró el poder de voto y a dónde fueron los fondos?

Para reunir ese poder de voto, la wallet compró BONK en los exchanges Bybit y Binance entre el 4 y el 5 de julio, según Look On Chain. Chainalysis, en cambio, sostuvo que la operación combinó esas compras con préstamos obtenidos a través de plataformas de finanzas descentralizadas (DeFi) y estimó el gasto total en USD 8 millones, mientras que Look On Chain lo calculó en USD 4,4 millones.

Según Chainalysis, nueve horas después de la ejecución de la propuesta, la wallet que recibió los fondos envió USD 188.000 a un exchange, posiblemente para intentar cobrarlos. Look On Chain identificó ese exchange como OKX. El resto, unos USD 19 millones, se movió a una wallet multifirma (una dirección que exige la aprobación de más de una clave privada para autorizar cualquier transferencia), vinculada según Chainalysis a una nueva organización creada por el mismo actor y controlada por tres wallets distintas.

Desde Chainalysis agregaron que, poco más de una hora después de que la propuesta se ejecutara, la wallet ya había empezado a vender USD 5,3 millones de los BONK que había comprado para juntar el poder de voto.

¿Una falla de diseño y no un hackeo técnico?

BonkDAO calificó lo ocurrido como una «propuesta de gobernanza maliciosa» y anunció que ya identificó las wallets de exchanges usadas para comprar BONK antes de la votación, que dio aviso a las autoridades y que trabaja con exchanges, puentes y la Fundación Solana para intentar recuperar los fondos.

Los analistas on chain, sin embargo, describen el episodio de otra manera. El analista Mic sostuvo que «el sistema de gobernanza se ejecutó exactamente como fue diseñado», mientras que el investigador conocido como Easy cuestionó directamente si hubo algo para hackear, y se preguntó si no se trató, simplemente, de una wallet con capital suficiente para comprar el control total de una votación.

En muchas organizaciones autónomas descentralizadas (DAO, por sus siglas en inglés), la cantidad de tokens que tiene una wallet, o que consigue pedir prestados, define de forma directa cuántos votos puede emitir. Eso significa que comprar tokens puede equivaler, en la práctica, a comprar votos.

La investigación de BonkDAO sobre el destino final de los fondos sigue abierta, al igual que la pregunta de si el proyecto, u otras DAO que dependen del mismo tipo de votación, van a modificar sus mecanismos de quorum para evitar que un solo poseedor de tokens pueda repetir la misma operación.