Dans la gouvernance « décentralisée », il suffit parfois d’avoir le portefeuille le plus lourd pour écrire les règles. Un attaquant vient d’en administrer la démonstration à la communauté BONK : en achetant suffisamment de tokens pour faire passer une proposition maison, il a détourné environ 20 millions de dollars du trésor du projet vers une adresse qu’il contrôlait, avant de commencer à liquider le butin.
Points clés
- Un attaquant a acheté pour environ 4 millions de dollars de tokens BONK afin de faire passer une proposition de gouvernance.
- La proposition validée a transféré environ 20 millions de dollars du trésor vers un wallet contrôlé par l’attaquant.
- Aucun exploit technique : l’attaque exploite le vote pondéré par la détention de tokens, sans faille de smart contract.
- Après le détournement, l’attaquant a commencé à revendre les fonds.
Un vote acheté, pas piraté
La mécanique n’a rien d’un exploit technique sophistiqué. Pas de faille dans le smart contract, pas de clé privée dérobée. L’attaquant a simplement joué le jeu tel qu’il était écrit : accumuler assez de droits de vote pour imposer sa volonté. Coût de l’opération, environ 4 millions de dollars de tokens rachetés pour peser sur le scrutin.
Une fois la majorité en poche, il a soumis (et validé) une proposition de gouvernance qui ordonnait le transfert des avoirs du projet vers son propre wallet. La blockchain a exécuté l’ordre sans sourciller : c’était parfaitement conforme aux règles.
20 millions dehors, la revente enclenchée
Le trésor ainsi vidé représentait environ 20 millions de dollars. Après le transfert, l’attaquant a entamé la vente de ce qu’il venait de rafler, avec le rendement que l’on imagine pour un butin de cette taille jeté sur le marché.
Le calcul est cynique mais limpide : 4 millions investis pour siphonner 20 millions, soit un retour sur investissement qui ferait pâlir n’importe quel fonds spéculatif. La seule condition, c’est que la gouvernance repose sur un vote pondéré par la fortune, sans garde-fou contre celui qui débarque en achetant la majorité le temps d’un scrutin.
La gouvernance par le portefeuille montre ses limites
Ce type d’attaque, souvent qualifié de governance attack, hante les protocoles où le pouvoir de décision se mesure au nombre de tokens détenus. Timelocks, quorums, seuils de participation ou verrouillage des fonds sont censés freiner ce genre de coup de force. Manifestement, tout le monde n’a pas bordé ses mécanismes de vote avec la même rigueur.
La décentralisation vendue comme un rempart démocratique reste, dans les faits, une ploutocratie qui s’ignore : un token, une voix, et tant pis si quelqu’un peut s’offrir la salle entière pour le prix d’un vote.
