2026年7月6日、SolanaエコシステムのトップMemeコインプロジェクトBonkDAOが悪質なガバナンス攻撃を受けました。攻撃者は悪意のあるガバナンス提案を通じて、DAOの金庫から約2000万ドル相当のBONKトークンを移動させました。従来のスマートコントラクトの脆弱性を利用した攻撃とは異なり、今回の攻撃はDAOのオンチェーンガバナンスメカニズムを完全に悪用したものです。攻撃者は約440万ドルを費やしてBONKトークンを購入し、十分な投票権を獲得した後、一方的に提案を可決し資金を移動させました。この事件はBONKの価格の大幅な下落を引き起こしただけでなく、業界全体にDAOガバナンスのセキュリティフレームワークに関する深い反省を促しました。
今回の攻撃の起点は6月30日に遡ります。匿名のウォレットがSolanaエコシステムのRealmsガバナンスプラットフォームに「BIP 76 - Sowellian BonkDAO」という提案を提出しました。提案は表面上、新しいガバナンススキームを実施し、「廃墟から再建」し、「保有資産を現金化する」と主張していましたが、その真の意図は金庫にある約4.426兆BONKトークン（約2000万ドル相当）を攻撃者が管理するウォレットに移すことでした。
BonkDAOのガバナンスルールによれば、提案が可決されるにはBONK総供給量の1%の賛成票を定足数として必要とし、それは約8799.5億BONKに相当します。攻撃者は7月4日から5日にかけて、複数の取引所を通じて約440万ドルを費やし、ちょうどこの定足数に達する量のBONKトークンを購入しました。
投票は7月6日に終了しました。データによると、投票に参加したのはわずか7つのウォレットであり、BonkDAOには18,000人以上のメンバーが参加していませんでした。投票率はわずか2.9%でした。攻撃者が管理するアドレスが99.878%の投票権重を占め、提案は99.9%の「賛成」票で可決されました。提案可決後、約2000万ドル相当のBONKが自動的に金庫から攻撃者のウォレットに移動しました。資金移動完了後、攻撃者はDAOの名称を「Sowellian BonkDAO」に変更しました。
今回の攻撃の本質は、トークン加重投票メカニズムの固有の欠陥が悪意を持って利用されたことにあります。攻撃者はスマートコントラクトの脆弱性を発見したわけでも、暗号メカニズムを破ったわけでもありません。彼が行ったのは、公開市場でトークンを購入し、提案を提出し、賛成票を投じたことだけです。各ステップはオンチェーンで「合法的」でしたが、組み合わさることで窃盗を構成しました。
核心的な問題は、**「購入後即時投票可能」**というガバナンス設計にあります。ガバナンスメカニズムがユーザーにトークンを購入した当日に投票を許可している場合、攻撃者は「フラッシュ」攻撃の機会を得ます。より極端なケースでは、プロトコルがフラッシュローン対策をサポートしていない場合、攻撃者は貸付を通じて瞬時に大量のトークンを取得し、投票することさえ可能です。2025年から2026年にかけて、Solanaおよび他のチェーン上の複数のプロトコルが同様のガバナンス操作攻撃を受けており、フラッシュローンの脆弱性は特に一般的でした。
BonkDAO攻撃のもう一つの重要な脆弱点は、低投票率です。18,000人以上のメンバーが投票に参加しなかったため、攻撃者はわずか7つのウォレット、2.9%の投票率で、2000万ドルの金庫資産に関する提案を可決することができました。これは深い矛盾を浮き彫りにしています。DAOのガバナンス権限は理論上は全トークン保有者に属しますが、実際にはvoter apathy（有権者の無関心）により、ガバナンス権限は実質的に少数のアクティブな参加者に集中しています。
攻撃発生後、盗まれたBONKトークンはすぐに複数の暗号通貨取引所に移動し始めました。オンチェーンデータによると、攻撃完了から約9時間後、約18.8万ドルが一つの取引所に送られ、現金化に使われた可能性があります。残りの約1900万ドルは、資金移動に複数の承認が必要なマルチシグウォレットに転送されました。
盗まれた資金が取引所に流れたことで、市場レベルでの反応が直接引き起こされました。韓国の取引所Upbitは事件発生後、BONKの入出金サービスを一時的に停止することを発表し、潜在的な盗難資産が自社プラットフォームを通じて移動するのを制限しました。この措置は、大型トークン攻撃事件では比較的一般的です。攻撃者は通常、追跡活動が効果的になる前に、盗難資産を流動性の高い暗号通貨に変換したり、中央集権型プラットフォームを通じて移動させようとします。
BonkDAOは法執行機関に通報したことを発表し、取引所、クロスチェーンブリッジ、Solana財団、関連する法執行機関と協力して、盗まれた資金の追跡と回収方法の模索を進めていると述べています。しかし、トークンが複数のプラットフォームに移動され、他の資産に交換され、またはミキサーを経由すると、回収の難易度は大幅に上昇します。
市場は金庫盗難事件に対して迅速かつ直接的な反応を示しました。Gateの相場データによると、2026年7月7日時点で、BONKは攻撃開示後に9%以上下落しました。The Blockのデータによると、盗まれたBONKが取引所に流れ始めた後、トークン価格に直接的な下落圧力がかかりました。
価格下落は2つのレベルの市場懸念を反映しています。第一は直接的な金庫の損失——2000万ドルはBonkDAOの金庫資産のかなりの割合を占めており、金庫の枯渇は将来のコミュニティイニシアチブやトークンバーン活動の持続可能性に直接影響します。第二は潜在的な売り圧力——市場は攻撃者が中央集権型取引所で盗んだトークンを売却しようとする可能性を懸念しており、大規模な売却が発生すれば、BONKの流動性と価格にさらなる打撃を与えるでしょう。
注目すべきは、BONKはSolanaで最も有名なMemeコインの一つとして、その知名度は典型的なMemeコイン取引の範囲を超え、一部の取引所取引商品に組み込まれていることです。この市場での地位により、ガバナンス攻撃の破壊力はさらに増幅されています。金庫の盗難は価格変動だけでなく、プロジェクト内部のガバナンスとリスク管理能力に対する信頼の危機を引き起こします。
BonkDAO攻撃は孤立した事例ではなく、2025年から2026年にかけてのDAOガバナンス攻撃の波の中での最新の一つです。これらの攻撃は明確な進化傾向を示しています。攻撃者は従来のスマートコントラクトの脆弱性悪用から、ガバナンスメカニズムの「ルール内」操作へとシフトしています。
第一に、攻撃コストと利益の非対称性がますます顕著になっています。 今回の攻撃では、攻撃者は約440万ドルをトークン購入に費やしただけで、約2000万ドルの金庫資産を動かし、レバレッジは約5倍に達しました。この非対称性により、ガバナンス攻撃は非常に魅力的な攻撃ベクトルとなっています。
第二に、攻撃手法が技術的脆弱性から制度的脆弱性へと移行しています。 従来のDeFiハッキング攻撃がリエントランシー攻撃やオラクル操作などの技術的手段に依存していたのとは異なり、ガバナンス攻撃はルール自体を利用します。これにより、攻撃の分類と防御がより困難になります。これは「コードの脆弱性」ではなく、「制度の脆弱性」です。
第三に、攻撃は「産業化」を加速しています。 2026年7月7日、BonkDAO攻撃の前後には、ブロックチェーンセキュリティ企業BlockaidがDeFi収益プロトコルSummer.fiに対するアクティブな攻撃を特定し、約600万ドルが流出しました。ガバナンス攻撃とセキュリティ脆弱性は、より高い頻度とより大規模な規模で、分散型金融エコシステム全体に打撃を与えています。
BonkDAO攻撃は、DAOのガバナンスセキュリティ設計における複数の欠落を露呈しました。業界では一般的に、以下のセキュリティメカニズムがDAO金庫管理の標準構成となるべきと考えられています。
タイムロックは最も基本的な防御線の一つです。タイムロックは提案の可決と実際の実行の間に強制的な遅延ウィンドウを設定し、コミュニティ、開発者、研究者が異常な操作を発見し防止する時間を確保します。BonkDAOには効果的な実行遅延メカニズムがなく、提案可決後すぐに資金が移動されました。
マルチシグネチャはもう一つの重要な障壁です。マルチシグウォレットを通じて金庫資金を管理し、大口送金には複数の信頼できる署名者の共同承認を要求することで、単一の悪意ある提案が直接金庫を枯渇させるのを防ぐことができます。
緊急停止メカニズムは最後の防御線を提供します。ガバナンスによって選出されたガーディアンのマルチシグは、タイムロックウィンドウ内に悪意のある、または誤った提案をキャンセルできます。このメカニズムはENS DAOなどの成熟したプロジェクトですでに実践されています。
さらに、投票権スナップショットメカニズムは「購入後即時投票」の攻撃パターンを防ぐことができます。提案提出時ではなく、投票時に投票資格を決定することで、攻撃者は投票ウィンドウ内で一時的にトークンを購入して投票権を得ることができなくなります。定足数の引き上げも、低投票率下でのガバナンス操作を効果的に防止できます。
BonkDAOの2000万ドル盗難事件は、2026年現在までで最も代表的なDAOガバナンスセキュリティ事件の一つです。これはほぼ「教科書的」な方法で、トークン加重ガバナンスメカニズムが適切なセキュリティ対策を欠いた場合の致命的な脆弱性を示しました。攻撃者はコードを解読する必要はなく、ルールを理解しそれを利用するだけでよいのです。
この事件の業界への示唆は多層的です。DAOプロジェクト側にとっては、ガバナンスメカニズムの設計は「分散化」という理念のレベルにとどまらず、タイムロック、マルチシグ、緊急停止、投票権スナップショットなどのセキュリティメカニズムを金庫管理の強制的な標準構成として組み込む必要があります。トークン保有者にとっては、ガバナンスへの参加はオプションではなく必須事項です。低投票率自体が最大のセキュリティホールです。業界にとっては、DAOガバナンス攻撃は偶発的な事件からシステミックリスクへと進化しており、より完全なガバナンスセキュリティ基準と監査フレームワークの構築が必要です。
盗まれた資金が回収できるかどうかは依然として不透明です。しかし、この2000万ドルの代償が、業界全体にDAOガバナンスセキュリティの根底にあるロジックを再考させる原動力となっていることは間違いありません。
Q：BonkDAO攻撃で、攻撃者は具体的にいくらのコストを費やしましたか？
攻撃者は約440万ドルを費やしてBONKトークンを購入し、ガバナンス投票の1%の定足数に達しました。これらのトークンにより、攻撃者は投票で99.878%の投票権重を獲得しました。
Q：この攻撃はスマートコントラクトの脆弱性を利用しましたか？
いいえ。今回の攻撃は完全にDAOのオンチェーンガバナンスメカニズムを利用したものであり、スマートコントラクトのコードの脆弱性ではありません。攻撃者はトークンを合法的に購入し、提案を提出し、投票するというルールの枠組み内で資金移動を完了しました。
Q：盗まれた資金は現在どこに流れていますか？
盗まれた約2000万ドル相当のBONKトークンは攻撃後、複数の暗号通貨取引所に流れ始めました。そのうち約18.8万ドルが一つの取引所に送られ、現金化に使われた可能性があります。残りの約1900万ドルはマルチシグウォレットに転送されました。
Q：UpbitはなぜBONKの入出金を停止したのですか？
韓国の取引所Upbitは、盗まれたBONKが取引所に流れ始めるのを検知した後、BONKの入出金サービスを一時的に停止することを発表し、潜在的な盗難資産が自社プラットフォームを通じて移動するのを制限しました。
Q：DAOプロジェクトはどのように同様のガバナンス攻撃を防ぐべきですか？
業界では一般的に、DAOプロジェクトにタイムロック（提案実行の遅延）、マルチシグ（大口取引の複数承認）、緊急停止メカニズム（悪意のある提案のキャンセル権限）、投票権スナップショット（一時的な票購入の防止）などのセキュリティ対策を導入することを推奨しています。
Q：BONKの現在の価格動向は？
Gateの相場データによると、2026年7月7日時点で、BONKは攻撃開示後に9%以上下落し、現在は0.00000426ドルで取引されています。
781.75K 人気度
203.24K 人気度
69.66K 人気度
7.98M 人気度
115.26K 人気度
BonkDAO がガバナンス攻撃を受ける：攻撃者はどうやって440万ドルで2,000万ドルのDAO金庫を動かしたのか？
2026年7月6日、SolanaエコシステムのトップMemeコインプロジェクトBonkDAOが悪質なガバナンス攻撃を受けました。攻撃者は悪意のあるガバナンス提案を通じて、DAOの金庫から約2000万ドル相当のBONKトークンを移動させました。従来のスマートコントラクトの脆弱性を利用した攻撃とは異なり、今回の攻撃はDAOのオンチェーンガバナンスメカニズムを完全に悪用したものです。攻撃者は約440万ドルを費やしてBONKトークンを購入し、十分な投票権を獲得した後、一方的に提案を可決し資金を移動させました。この事件はBONKの価格の大幅な下落を引き起こしただけでなく、業界全体にDAOガバナンスのセキュリティフレームワークに関する深い反省を促しました。
攻撃者はどのようにガバナンス投票を通じて2000万ドルを盗んだのか？
今回の攻撃の起点は6月30日に遡ります。匿名のウォレットがSolanaエコシステムのRealmsガバナンスプラットフォームに「BIP 76 - Sowellian BonkDAO」という提案を提出しました。提案は表面上、新しいガバナンススキームを実施し、「廃墟から再建」し、「保有資産を現金化する」と主張していましたが、その真の意図は金庫にある約4.426兆BONKトークン（約2000万ドル相当）を攻撃者が管理するウォレットに移すことでした。
BonkDAOのガバナンスルールによれば、提案が可決されるにはBONK総供給量の1%の賛成票を定足数として必要とし、それは約8799.5億BONKに相当します。攻撃者は7月4日から5日にかけて、複数の取引所を通じて約440万ドルを費やし、ちょうどこの定足数に達する量のBONKトークンを購入しました。
投票は7月6日に終了しました。データによると、投票に参加したのはわずか7つのウォレットであり、BonkDAOには18,000人以上のメンバーが参加していませんでした。投票率はわずか2.9%でした。攻撃者が管理するアドレスが99.878%の投票権重を占め、提案は99.9%の「賛成」票で可決されました。提案可決後、約2000万ドル相当のBONKが自動的に金庫から攻撃者のウォレットに移動しました。資金移動完了後、攻撃者はDAOの名称を「Sowellian BonkDAO」に変更しました。
トークン加重投票はなぜDAOセキュリティのアキレス腱となったのか？
今回の攻撃の本質は、トークン加重投票メカニズムの固有の欠陥が悪意を持って利用されたことにあります。攻撃者はスマートコントラクトの脆弱性を発見したわけでも、暗号メカニズムを破ったわけでもありません。彼が行ったのは、公開市場でトークンを購入し、提案を提出し、賛成票を投じたことだけです。各ステップはオンチェーンで「合法的」でしたが、組み合わさることで窃盗を構成しました。
核心的な問題は、**「購入後即時投票可能」**というガバナンス設計にあります。ガバナンスメカニズムがユーザーにトークンを購入した当日に投票を許可している場合、攻撃者は「フラッシュ」攻撃の機会を得ます。より極端なケースでは、プロトコルがフラッシュローン対策をサポートしていない場合、攻撃者は貸付を通じて瞬時に大量のトークンを取得し、投票することさえ可能です。2025年から2026年にかけて、Solanaおよび他のチェーン上の複数のプロトコルが同様のガバナンス操作攻撃を受けており、フラッシュローンの脆弱性は特に一般的でした。
BonkDAO攻撃のもう一つの重要な脆弱点は、低投票率です。18,000人以上のメンバーが投票に参加しなかったため、攻撃者はわずか7つのウォレット、2.9%の投票率で、2000万ドルの金庫資産に関する提案を可決することができました。これは深い矛盾を浮き彫りにしています。DAOのガバナンス権限は理論上は全トークン保有者に属しますが、実際にはvoter apathy（有権者の無関心）により、ガバナンス権限は実質的に少数のアクティブな参加者に集中しています。
攻撃後、資金はどこへ流れたか？Upbitはなぜ入出金を停止したのか？
攻撃発生後、盗まれたBONKトークンはすぐに複数の暗号通貨取引所に移動し始めました。オンチェーンデータによると、攻撃完了から約9時間後、約18.8万ドルが一つの取引所に送られ、現金化に使われた可能性があります。残りの約1900万ドルは、資金移動に複数の承認が必要なマルチシグウォレットに転送されました。
盗まれた資金が取引所に流れたことで、市場レベルでの反応が直接引き起こされました。韓国の取引所Upbitは事件発生後、BONKの入出金サービスを一時的に停止することを発表し、潜在的な盗難資産が自社プラットフォームを通じて移動するのを制限しました。この措置は、大型トークン攻撃事件では比較的一般的です。攻撃者は通常、追跡活動が効果的になる前に、盗難資産を流動性の高い暗号通貨に変換したり、中央集権型プラットフォームを通じて移動させようとします。
BonkDAOは法執行機関に通報したことを発表し、取引所、クロスチェーンブリッジ、Solana財団、関連する法執行機関と協力して、盗まれた資金の追跡と回収方法の模索を進めていると述べています。しかし、トークンが複数のプラットフォームに移動され、他の資産に交換され、またはミキサーを経由すると、回収の難易度は大幅に上昇します。
BONKの価格はなぜ攻撃開示後に9%以上下落したのか？
市場は金庫盗難事件に対して迅速かつ直接的な反応を示しました。Gateの相場データによると、2026年7月7日時点で、BONKは攻撃開示後に9%以上下落しました。The Blockのデータによると、盗まれたBONKが取引所に流れ始めた後、トークン価格に直接的な下落圧力がかかりました。
価格下落は2つのレベルの市場懸念を反映しています。第一は直接的な金庫の損失——2000万ドルはBonkDAOの金庫資産のかなりの割合を占めており、金庫の枯渇は将来のコミュニティイニシアチブやトークンバーン活動の持続可能性に直接影響します。第二は潜在的な売り圧力——市場は攻撃者が中央集権型取引所で盗んだトークンを売却しようとする可能性を懸念しており、大規模な売却が発生すれば、BONKの流動性と価格にさらなる打撃を与えるでしょう。
注目すべきは、BONKはSolanaで最も有名なMemeコインの一つとして、その知名度は典型的なMemeコイン取引の範囲を超え、一部の取引所取引商品に組み込まれていることです。この市場での地位により、ガバナンス攻撃の破壊力はさらに増幅されています。金庫の盗難は価格変動だけでなく、プロジェクト内部のガバナンスとリスク管理能力に対する信頼の危機を引き起こします。
BonkDAOから業界の常態へ：DAOガバナンス攻撃の進化傾向
BonkDAO攻撃は孤立した事例ではなく、2025年から2026年にかけてのDAOガバナンス攻撃の波の中での最新の一つです。これらの攻撃は明確な進化傾向を示しています。攻撃者は従来のスマートコントラクトの脆弱性悪用から、ガバナンスメカニズムの「ルール内」操作へとシフトしています。
第一に、攻撃コストと利益の非対称性がますます顕著になっています。 今回の攻撃では、攻撃者は約440万ドルをトークン購入に費やしただけで、約2000万ドルの金庫資産を動かし、レバレッジは約5倍に達しました。この非対称性により、ガバナンス攻撃は非常に魅力的な攻撃ベクトルとなっています。
第二に、攻撃手法が技術的脆弱性から制度的脆弱性へと移行しています。 従来のDeFiハッキング攻撃がリエントランシー攻撃やオラクル操作などの技術的手段に依存していたのとは異なり、ガバナンス攻撃はルール自体を利用します。これにより、攻撃の分類と防御がより困難になります。これは「コードの脆弱性」ではなく、「制度の脆弱性」です。
第三に、攻撃は「産業化」を加速しています。 2026年7月7日、BonkDAO攻撃の前後には、ブロックチェーンセキュリティ企業BlockaidがDeFi収益プロトコルSummer.fiに対するアクティブな攻撃を特定し、約600万ドルが流出しました。ガバナンス攻撃とセキュリティ脆弱性は、より高い頻度とより大規模な規模で、分散型金融エコシステム全体に打撃を与えています。
DAO金庫のセキュリティにはどのような重要な防御線が必要か？
BonkDAO攻撃は、DAOのガバナンスセキュリティ設計における複数の欠落を露呈しました。業界では一般的に、以下のセキュリティメカニズムがDAO金庫管理の標準構成となるべきと考えられています。
タイムロックは最も基本的な防御線の一つです。タイムロックは提案の可決と実際の実行の間に強制的な遅延ウィンドウを設定し、コミュニティ、開発者、研究者が異常な操作を発見し防止する時間を確保します。BonkDAOには効果的な実行遅延メカニズムがなく、提案可決後すぐに資金が移動されました。
マルチシグネチャはもう一つの重要な障壁です。マルチシグウォレットを通じて金庫資金を管理し、大口送金には複数の信頼できる署名者の共同承認を要求することで、単一の悪意ある提案が直接金庫を枯渇させるのを防ぐことができます。
緊急停止メカニズムは最後の防御線を提供します。ガバナンスによって選出されたガーディアンのマルチシグは、タイムロックウィンドウ内に悪意のある、または誤った提案をキャンセルできます。このメカニズムはENS DAOなどの成熟したプロジェクトですでに実践されています。
さらに、投票権スナップショットメカニズムは「購入後即時投票」の攻撃パターンを防ぐことができます。提案提出時ではなく、投票時に投票資格を決定することで、攻撃者は投票ウィンドウ内で一時的にトークンを購入して投票権を得ることができなくなります。定足数の引き上げも、低投票率下でのガバナンス操作を効果的に防止できます。
まとめ：2000万ドルのガバナンスの教訓
BonkDAOの2000万ドル盗難事件は、2026年現在までで最も代表的なDAOガバナンスセキュリティ事件の一つです。これはほぼ「教科書的」な方法で、トークン加重ガバナンスメカニズムが適切なセキュリティ対策を欠いた場合の致命的な脆弱性を示しました。攻撃者はコードを解読する必要はなく、ルールを理解しそれを利用するだけでよいのです。
この事件の業界への示唆は多層的です。DAOプロジェクト側にとっては、ガバナンスメカニズムの設計は「分散化」という理念のレベルにとどまらず、タイムロック、マルチシグ、緊急停止、投票権スナップショットなどのセキュリティメカニズムを金庫管理の強制的な標準構成として組み込む必要があります。トークン保有者にとっては、ガバナンスへの参加はオプションではなく必須事項です。低投票率自体が最大のセキュリティホールです。業界にとっては、DAOガバナンス攻撃は偶発的な事件からシステミックリスクへと進化しており、より完全なガバナンスセキュリティ基準と監査フレームワークの構築が必要です。
盗まれた資金が回収できるかどうかは依然として不透明です。しかし、この2000万ドルの代償が、業界全体にDAOガバナンスセキュリティの根底にあるロジックを再考させる原動力となっていることは間違いありません。
FAQ
Q：BonkDAO攻撃で、攻撃者は具体的にいくらのコストを費やしましたか？
攻撃者は約440万ドルを費やしてBONKトークンを購入し、ガバナンス投票の1%の定足数に達しました。これらのトークンにより、攻撃者は投票で99.878%の投票権重を獲得しました。
Q：この攻撃はスマートコントラクトの脆弱性を利用しましたか？
いいえ。今回の攻撃は完全にDAOのオンチェーンガバナンスメカニズムを利用したものであり、スマートコントラクトのコードの脆弱性ではありません。攻撃者はトークンを合法的に購入し、提案を提出し、投票するというルールの枠組み内で資金移動を完了しました。
Q：盗まれた資金は現在どこに流れていますか？
盗まれた約2000万ドル相当のBONKトークンは攻撃後、複数の暗号通貨取引所に流れ始めました。そのうち約18.8万ドルが一つの取引所に送られ、現金化に使われた可能性があります。残りの約1900万ドルはマルチシグウォレットに転送されました。
Q：UpbitはなぜBONKの入出金を停止したのですか？
韓国の取引所Upbitは、盗まれたBONKが取引所に流れ始めるのを検知した後、BONKの入出金サービスを一時的に停止することを発表し、潜在的な盗難資産が自社プラットフォームを通じて移動するのを制限しました。
Q：DAOプロジェクトはどのように同様のガバナンス攻撃を防ぐべきですか？
業界では一般的に、DAOプロジェクトにタイムロック（提案実行の遅延）、マルチシグ（大口取引の複数承認）、緊急停止メカニズム（悪意のある提案のキャンセル権限）、投票権スナップショット（一時的な票購入の防止）などのセキュリティ対策を導入することを推奨しています。
Q：BONKの現在の価格動向は？
Gateの相場データによると、2026年7月7日時点で、BONKは攻撃開示後に9%以上下落し、現在は0.00000426ドルで取引されています。