합법적인 강도 사건? 공격자가 티켓을 구매하여 BonkDAO 국고를 비우다

저자: Chloe, ChainCatcher

2026년 7월 6일 새벽, Solana 생태계의 밈코인 BONK의 커뮤니티 거버넌스 조직 BonkDAO가 거버넌스 공격을 당했다. 공격자는 "합법적으로" 통과된 거버넌스 제안을 통해 국고에서 약 4.4 조 개의 BONK 토큰을 빼냈다. 이 사건에서 가장 주목할 만한 점은 어떤 스마트 계약의 취약점이 아니라, 공격자가 약 440만 달러를 "표를 사는 데" 사용하여 약 2,000만 달러의 자산을 교환했으며, 처음부터 끝까지, 매수, 투표, 자금 배정의 모든 단계가 기술적으로 완전히 유효한 거래였다는 것이다.

BonkDAO가 거버넌스 공격을 당해 국고 약 2,000만 달러가 빼앗김

BonkDAO 공식 X 계정은 7월 6일 공격을 당했다고 확인하며, 이는 "악의적인 거버넌스 제안(malicious governance proposal)"이라고 밝혔다. 국고에서 약 2,000만 달러의 BONK가 전송된 것으로 추정된다. 도난당한 토큰이 즉시 거래소로 유입되면서 시장의 매도 압력이 나타났고, BONK 가격은 24시간 내에 약 7%에서 10% 하락하여 약 0.0000043 달러 근처로 떨어졌으며, 역사적 고점인 0.000058 달러보다 약 93% 낮아졌다.

전송된 토큰은 4.4 조 개의 BONK이다. 시간과 자료 출처에 따라 평가가 약간 다르기 때문에, 각 측에서 금액에 대한 설명은 약 1,930만 달러에서 2,120만 달러 사이로 다양하며, 일반적으로 "약 2,000만 달러"로 요약된다.

BONK는 2022년 12월 Solana에서 출시된 유명한 개 밈코인으로, 대규모 커뮤니티 에어드랍으로 유명하며, 오랫동안 시장에서 대표적인 밈코인 중 하나로 여겨지고 있으며, 일부 ETF에도 포함되었다.

공격 메커니즘: Proposal #76 "Sowellian BonkDAO"에 숨겨진 악의적인 명령

공격의 핵심 도구는 "BIP #76 - Sowellian BonkDAO"라는 이름의 거버넌스 제안이다. 표면적인 문구에서는 "Sowellian 거버넌스"를 도입하고, 위원 및 이사를 교체하며, 재구성하고, 보유 자산을 화폐화하고, 손실을 방지하는 일련의 개혁 주제를 주장한다. 글자 그대로 보면 거버넌스 제안이라기보다는 열정적인 선언문에 가깝고, "재건하고, 보유 자산을 화폐화하며, 손실을 멈추겠다"는 내용이 포함되어 있으며, "찬성" 투표를 던진 모든 참여자에게 BONK 토큰 보상을 받을 자격이 있다고 약속하고 있다.

실제로 문제가 되는 것은 제안 하단에 숨겨진 실제 실행 명령으로, 4.43 조 개의 BONK를 공격자의 지갑으로 직접 전송하는 이체이다. 이것이 전체 제안에서 유일하게 실질적인 효과를 가진 행동이며, 처음부터 설정된 진정한 목적이다. BonkDAO의 설명에 따르면, 국고를 비우는 이 명령은 두 번째 실행 단계에 끼워져 있어 가장 눈에 띄는 위치에 있지 않아 한눈에 드러날 확률을 낮추었다. 다시 말해, 이는 자금을 탈취하기 위한 명령이 포함된 제안으로, 거버넌스 개혁의 외피를 씌운 것이다.

공격자가 구매한 표로 제안이 통과되면, 이 명령은 자동으로 체인에서 실행되며, 아무도 다시 확인할 필요가 없다. 따라서 자금은 미국 동부 시간으로 7월 6일 새벽 4시경 "JHvQ"로 끝나는 공격자의 지갑으로 직접 유입되었고, 이전에 찬성 투표자에게 약속된 토큰 분배는 물론 지급되지 않을 것이다.

공격자가 사전에 "표를 사다", 커뮤니티 감시를 우회하다

Chainalysis, Lookonchain 등의 체인 분석에 따르면, 이번 공격은 약 일주일에 걸친 계획된 행동이다:

6월 30일, 한 익명의 지갑이 거버넌스 플랫폼에 이 제안을 제출했다. 제안이 통과되려면 최소 1%의 토큰 공급량 기준을 충족해야 하며, 약 879.95억 개의 BONK가 찬성 투표로 필요하다.

따라서 7월 4일과 5일 이틀 동안, 다른 지갑이 Bybit와 바이낸스 두 거래소를 통해 약 882.38억 개의 BONK를 구매하며 약 440만 달러를 지출하여, 기준을 초과할 수 있는 표를 모았다. Lookonchain에 따르면, 공격자는 DeFi 대출 플랫폼을 통해 더 많은 토큰을 빌렸을 가능성도 있다. 이 일련의 행동은 거래소 지갑을 통해 분산되어 진행되었으며, 커뮤니티는 거의 눈치채지 못한 채 투표 결과를 좌우할 수 있는 보유량을 조용히 축적했다.

최종 제안은 극히 작은 차이로 통과되었다: 882.38억 개의 찬성 투표가 879.95억 개의 기준을 초과했으며, 거의 공격자가 수일 동안 축적한 보유량과 정확히 일치했다. 더 주목할 만한 것은 투표 구조 자체이다: 전체 과정에서 단 7개의 지갑만 투표했으며, 1.8만 명 이상의 회원은 전혀 참여하지 않았고, 투표율은 약 2.9%에 불과했지만, "찬성" 비율은 99.9%에 달했다. 다시 말해, 이른바 "커뮤니티 합의"는 사실상 공격자가 스스로와 합의한 결과에 불과하다.

국고가 비워진 후, 공격자는 손에 쥔 토큰을 두 가지 전혀 다른 방식으로 처리했다.

국고에서 탈취한 약 2,000만 달러의 BONK에 대해, 공격자는 대부분 즉시 현금화하지 않았다. Chainalysis에 따르면, 약 9시간 후, 그 중 약 18.8만 달러만 거래소로 전송되었고(현금화에 사용될 가능성 있음), 나머지 약 1,900만 달러는 다중 서명 승인이 필요한 "다중 서명 지갑"에 보관되었다; 이 과정에서 자금은 "eh42"로 끝나는 다른 주소로도 한때 이동되었다.

처음에 표를 사기 위해 구매한 BONK에 대해서는 공격자가 급히 처분했다: 국고를 비운 지 약 한 시간 후, 이 토큰을 매도하기 시작하여 약 530만 달러를 판매했다. 다시 말해, 공격자는 탈취한 국고 토큰은 남겨두었지만, 국고를 차지하기 위해 사용한 보유량은 신속하게 처분했다.

거래소와 공식 기관도 즉시 반응했다. Upbit과 Kraken은 보안 사건 절차에 따라 BONK의 입출금을 중단했다; BonkDAO 공식은 법 집행 기관에 통보했으며, 공격자가 투표 전에 사용한 거래소 지갑을 잠금 조치하고, 거래소, 크로스 체인 브릿지 및 Solana 재단과 협력하여 자금을 회수하고 책임 소재를 명확히 하고 있다고 밝혔다.

결론

이번 사건은 오래된 논쟁에 다시 불을 지폈다. 매수, 투표, 자금 배정의 모든 단계가 기술적으로 합법적이고 유효한 거래이기 때문에, 일부 체인 관찰자들은 공격자가 취약한 거버넌스 설계를 이용했을 뿐이라고 주장한다. 그러나 BonkDAO와 여러 분석 기관은 여전히 이를 명백히 공격으로 규정하고 있으며, 법 집행 기관의 개입도 이러한 입장을 반영하고 있다.

체인 거버넌스는 몇 년 전 커뮤니티 자치의 미래로 여겨졌으며, 토큰 보유자가 자금의 방향을 결정하는 이상을 상징했다. 그러나 BonkDAO 사건은 암호 산업의 핵심 문제를 다시 한번 지적한다: 금고의 열쇠를 "누구나 돈을 쓰고 참여할 수 있는" 공개 투표에 맡기는 경우, 충분한 검증 메커니즘이 결여된다면, 예를 들어 제안 내용의 실질적 검토, 더 높은 통과 기준, 자금 배정 전의 시간 잠금 및 인적 검토 등이 없다면, 아무리 정당한 거버넌스 이상도 공격자에게 가장 유리한 도구가 될 수 있다.