본크 다오, 거버넌스 공격으로 2천만 달러를 잃다 – 공격자는 코인베이스에서 돈을 빼돌린다.

7월 6일에, 공격자가 약간의 시간을 사용했습니다.440만 달러를 들여 BONK 토큰을 구입함투표 권력을 축적하기 위해, 단 하나의 거버넌스 제안만을 통과시켰으며, 그 외는 모두 무시해버렸다.BonkDAO 재무부에서 2천만 달러가 지급됨코드가 손상된 적이 없으며, 스마트 컨트랙트도 악용된 적이 없습니다. 이 공격은 순전히 금융적인 방식으로 이루어졌습니다. 충분한 수의 토큰을 구입하여 투표권을 장악한 다음, 재정 자산을 자신에게 전달하는 것입니다. 자본 수익률은 20백만 달러로, 투자된 4.4백만 달러에 비해 약 4.5배입니다.

그 다음으로 중요한 부분은 가격과 관련된 것입니다. 공격자는 물건을 보유하지 않습니다. 그들은 그 물건을 팔아버립니다.

7월 18일, 체인 워처들은 공격자의 월렛에서 또 다른 전송이 일어났다는 것을 확인했습니다.4000억 BONK, 약 119만 달러의 가치가 있습니다.코인베이스로 이전했습니다. 그 후 BONK의 가치는 약 7% 하락했습니다. 이번이 처음이 아닙니다. 공격자의 월렛에서 들어오는 교환 수익은 대략…1.626조 BONK 토큰판매는 체계적으로 이루어지며, 공황에 의한 것이 아닙니다. 그건 단순한 청산 과정일 뿐입니다.

관리 비용을 구입할 수 있습니다.

이런 종류의 거버넌스 공격은 암호화폐 분야에서는 새로운 현상이 아닙니다. 하지만 BonkDAO 사건은 구조적 약점을 다른 방식으로 드러냅니다. 대부분의 거버넌스 공격은 버그나 취약점, 혹은 중앙집권적 권한 위임 체계에 의존합니다. 하지만 이 경우는 그런 것들이 전혀 필요하지 않았습니다. 공격자에게는 충분히 작은 투표 인원과 낮은 토큰 가격만 있으면 되었으며, 440만 달러만 있으면 합의점에 도달할 수 있었습니다.

그것이 바로 그 메커니즘입니다. 이 메커니즘은, 프로토콜의 자산을 민주적으로 보호해야 하는 역할을 하는 통치 방식을, 경매로 전환시키는 것입니다. 투표가 진행될 때 가장 많은 표를 얻을 수 있는 사람이 결과를 결정합니다. 만약 토큰이 대량으로 구입하기에 충분히 유동적이고, 합의된 수준도 낮다면, 공격자의 입장에서는 유리한 상황이 됩니다.

BonkDAO의 합의 요건과 투표 방식으로 인해, 한 명의 자본력이 충분한 사람이 거의 아무런 반대도 없이 제안을 통과시킬 수 있었습니다. 다른 대규모 보유자들이 그 제안에 반대했다는 공식적인 증거는 없습니다. 이는 당시에 그러한 사실에 대한 인지가 부족했거나, 긴급 비토권이 없는 거버넌스 체계를 가지고 있었기 때문일 수 있습니다.

자본 흐름 경로

돈의 흐름은 매우 간단합니다. 첫 번째 단계는 BONK를 교환소나 시장 가격으로 구매하는 것입니다. 두 번째 단계는 그 토큰들을 투표권으로 사용하여 재정 삭감 제안을 통과시키는 것입니다. 세 번째 단계는 2천만 달러 상당의 BONK를 자신의 월렛에 받는 것입니다. 네 번째 단계는 도난당한 토큰들을 교환소로 보내서 시장에서 판매하는 것입니다.

하지만 각 단계에서 공격자가 보유하고 있는 토큰의 가치도 낮아집니다. 이로 인해 공격자는 반응 루프를 관리해야 합니다. 시장 규모가 거의 2천만 달러에 달하는 토큰을 그냥 버리지는 않아야 합니다.2억6천2백만 달러한 번의 거래로 이루어집니다. 판매량이 불규칙하게 변동됩니다. 그래서 코인베이스에 지불되는 금액이 반복적으로 증가하는 것입니다. 단순한 청산 사건이 아니라, 지속적인 자금 유출이 일어나는 것입니다.

공격자의 투표 토큰과 재정 자산의 총합은 유통된 자산의 상당한 비율을 차지합니다. 이러한 낮은 수준의 자산이 시장에서 점차 판매된다면, 손실 위험도 존재합니다.

누가 판매 장벽을 흡수하는가?

문제는 공격자가 상품을 판매하는지 여부가 아닙니다. 중요한 것은 그 주문들을 받는 쪽에 누가 있는가 하는 것입니다.

코인베이스의 상장 서비스를 통해 BONK는 실물 매수자들과 소매 투자자들의 자금을 얻을 수 있으며, 마진 포지션도 확보할 수 있습니다. 이는 일정한 수요를 창출해줍니다. 하지만 현재 시장 상황에서는 크립토 피어 앤 그리드 인덱스가 28으로 떨어져 있어 매우 불안한 상태이며, 전체 크립토 시장 가치는 2.21조 달러로 감소했습니다. 따라서 투기성 토큰들은 가장 먼저 매수 지원을 잃게 됩니다.

공격자의 총 교환 예치금은 약 1.626조 BONK 토큰에 달하지만, 이는 2천만 달러에 해당하는 금액의 전부가 아닙니다. 남아 있는 토큰들은 여전히 지갑에 있으므로, 판매 압력이 아직 끝나지 않았다는 뜻입니다.

이것이 DAO 보안에 대해 무엇을 알려줄까요?

BonkDAO의 공격은 이상치가 아니라, 스트레스 테스트 결과일 뿐입니다. 이는 토큰 보유자들이 재정 자산을 보호할 것이라는 가정이, 투표를 통제하는 비용이 투표 대상의 가치보다 낮을 때 무너진다는 것을 보여줍니다. 이는 순전히 계산상의 취약점에 불과합니다. 만약 재정 자산의 가치가 합의 필요 비용을 초과한다면, 그 공격은 수익성이 있습니다.

프로토콜들은 합의가 이루어지기 위한 필요 인원수를 높이거나, 시간 제한을 도입하거나, 멀티서명 방식을 사용하거나, 분권화된 대표 구조를 요구함으로써 비용을 증가시킬 수 있습니다. 하지만 이러한 조치들은 거버넌스의 반응성을 저하시킵니다. 이것이 바로 생태계가 아직 완전히 해결하지 못한 문제입니다.

다음으로 볼 것들

• 남은 지갑 잔액입니다.공격자는 여전히 도난당한 BONK를 가지고 있지만, 아직 교환되지 않았습니다. 냉장 저장소에서 예금 주소로 대량의 자산이 이동된다면, 그건 추가적인 매각의 신호입니다.

• 코인베이스의 BONK 거래량과 입찰가 깊이.만약 거래량이 매도 동향을 충분히 감당하지 못한다면, 가격 하락 압력이 더욱 심해집니다. 입금 이벤트가 발생할 때 코인베이스의 주문장 깊이를 주의 깊게 관찰하세요.

• BonkDAO 거버넌스 변경 사항.프로토콜이 투표 방식을 업그레이드하는지 여부 – 더 높은 합의 비율, 시간 제한, 긴급 중단 등 –가 이 취약점이 계속 존재할지 결정할 것입니다. 아무런 변화가 없다면, 공격 경로는 여전히 열려 있게 됩니다.

• 체인상 지갑 클러스터링.공격자가 토큰을 더 적은 수의 월렛에 분배한다면, 이는 더 큰 액면가 매각이 준비되고 있다는 신호입니다. 반대로 토큰을 여러 개로 나눈다면, 여러 가지 판매 채널을 준비하고 있을 가능성이 있습니다.

BonkDAO의 재정 자원이 고갈된 것은 속임수가 아니었습니다. 그건 단순한 차익거래였습니다. 공격자는 통제 비용이 통제되는 자산의 가치보다 낮은 거버넌 구조를 발견하고 그에 맞는 행동을 취했습니다. 시장에 자산을 판매하는 것도 바로 그 거래의 두 번째 단계입니다.