Attaque de gouvernance : anatomie et parades d’un exploit

Le 6 juillet 2026, la trésorerie de BonkDAO a été vidée d’environ 20 millions de dollars (près de 17,3 millions d’euros) en une seule transaction. Aucun smart contract n’a été piraté, aucune clé privée n’a fuité, aucun débordement d’entier n’a été exploité. Le contrat de gouvernance a fait exactement ce pour quoi il avait été programmé : il a compté les voix, constaté que la proposition franchissait le quorum, puis transféré les fonds vers l’adresse indiquée. Le détail gênant, c’est que l’adresse appartenait à l’attaquant, et que la proposition avait été rédigée par lui, comme l’a raconté CoinDesk.

C’est la signature d’une attaque de gouvernance : un exploit qui ne touche pas au code. Contrairement à une faille technique, que l’on dissèque ligne par ligne dans un post-mortem d’exploit, une prise de contrôle par le vote ne laisse rien à corriger dans le contrat. Le bug est ailleurs : dans l’hypothèse sociale selon laquelle la majorité des jetons de gouvernance vote dans l’intérêt du protocole. Quand un acteur unique peut acheter, emprunter ou accumuler cette majorité, l’hypothèse tombe, et le code obéit.

Cet article traite la gouvernance on-chain pour ce qu’elle est devenue : une surface d’attaque à part entière. Nous suivons la chaîne d’exploitation étape par étape, nous démontons les trois façons de rafler des voix, puis nous détaillons la pile défensive qui, en 2026, sépare une DAO robuste d’une trésorerie à ciel ouvert.

Un exploit qui ne casse aucune ligne de code

Une attaque de gouvernance retourne contre un protocole son propre mécanisme de décision. Dans une organisation autonome décentralisée, aucun administrateur ne contrôle la trésorerie ni les paramètres : ce sont les détenteurs d’un jeton de gouvernance qui votent des propositions, exécutées ensuite automatiquement on-chain. L’attaquant n’a donc pas à trouver une erreur dans le code. Il lui suffit de réunir assez de voix pour faire adopter une proposition qui vide la trésorerie, réattribue les droits d’administration ou détourne les actifs.

C’est ce qui déroute les équipes sécurité. Un audit de smart contract cherche des débordements d’entiers, des failles de réentrance, des contrôles d’accès oubliés. Ici, le contrat se comporte parfaitement : il vérifie le quorum, valide la majorité, exécute. La faille n’est pas dans la logique d’exécution, elle est dans l’hypothèse sociale sous-jacente, à savoir que le poids des jetons reflète l’intérêt collectif. Le vieux slogan « code is law » se retourne alors contre ses partisans : le code applique la loi du plus grand nombre de jetons, pas celle du bon sens.

Cette différence a des conséquences très concrètes. Il n’y a rien à patcher après coup, aucune version corrigée à déployer, et souvent aucune transaction à annuler, puisque le transfert était valide au sens du protocole. La défense ne peut donc pas être réactive ; elle doit être conçue en amont, dans les règles de vote elles-mêmes.

L’équation de l’attaquant

Pour raisonner comme un défenseur, il faut d’abord modéliser l’adversaire en termes économiques. Les chercheurs Pranav Garimidi, Scott Duke Kominers et Tim Roughgarden ont proposé, dans une analyse publiée par a16z crypto, une équation simple : le profit de l’attaquant est égal à la valeur de l’attaque, moins le coût d’acquisition des voix, moins le coût d’exécution. Tant que ce résultat reste positif, une gouvernance suffisamment permissive finira par attirer un attaquant rationnel.

Le point clé de leur analyse est ce qu’ils appellent l’indistinguabilité : un marché ne peut pas différencier un acheteur légitime d’un attaquant, puisque les deux se contentent d’acheter des jetons. Impossible, donc, de filtrer les intentions au moment de l’achat. La seule prise possible se situe sur les trois termes de l’équation. On peut réduire la valeur de l’attaque en limitant ce que la gouvernance a le droit de faire. On peut augmenter le coût d’acquisition en réduisant la liquidité ou en imposant un verrouillage des jetons. On peut enfin augmenter le coût d’exécution avec un timelock, un veto ou une revue humaine.

Cette grille explique pourquoi certaines DAO se font vider et d’autres non. Une trésorerie de plusieurs dizaines de millions, un jeton très liquide et aucun délai d’exécution : les trois termes jouent en faveur de l’attaquant. C’est très exactement le profil de BonkDAO en juillet 2026.

La chaîne d’exploitation, étape par étape

Comme toute intrusion, une attaque de gouvernance suit une séquence répétable. La reconnaître permet d’identifier les points de contrôle où un défenseur peut intervenir.

Chacune de ces phases est un goulet d’étranglement défensif. La reconnaissance est publique et inévitable, mais tout ce qui suit peut être ralenti ou bloqué. La phase d’exfiltration, en particulier, est la dernière chance de récupération : une fois les fonds transférés, la traque ressemble à celle d’un vol classique, avec du forensics on-chain et une course de vitesse contre le blanchiment.

Trois façons de rafler les voix

L’analyse d’a16z distingue trois manières d’acquérir le poids de vote nécessaire, et chacune appelle une parade différente.

La première est l’acquisition ouverte. L’attaquant achète simplement des jetons sur le marché, au vu de tous. C’est ainsi que Justin Sun avait accumulé une part massive de STEEM avant un bras de fer resté célèbre. Cette voie est visible, mais la visibilité ne sert à rien si la communauté ne réagit pas à temps.

La deuxième est l’attaque flash. L’attaquant emprunte instantanément un énorme volume de jetons via un flash loan, vote, puis rembourse, le tout dans une seule transaction. Il n’immobilise aucun capital et ne court aucun risque de prix. Beanstalk en reste l’exemple canonique.

La troisième est l’accumulation furtive. Des portefeuilles anonymes rassemblent lentement du poids de vote, restent dormants, puis frappent au moment choisi. C’est la plus difficile à détecter, car rien ne distingue ces portefeuilles d’investisseurs ordinaires jusqu’au vote. BonkDAO combine cette discrétion avec un achat de dernière minute.

Le flash loan : voter avec de l’argent qu’on ne possède pas

Le 17 avril 2022, le protocole Beanstalk a perdu 182 millions de dollars (environ 168 millions d’euros à l’époque) en quelques secondes. L’attaquant a emprunté plus d’un milliard de dollars de liquidités via des flash loans sur Aave, Uniswap et SushiSwap, s’octroyant instantanément la supermajorité des deux tiers requise pour une exécution d’urgence, selon les analyses de Cointelegraph et d’Immunefi. Il a fait passer la proposition BIP18, qui transférait les fonds vers son adresse, dans la même transaction que l’emprunt, remboursé aussitôt. Le délai d’un jour prévu pour les propositions ordinaires ne s’appliquait pas à la voie d’urgence, ce qui a permis l’exécution atomique. Bilan pour Bloomberg : près de 80 millions de dollars empochés par l’attaquant, et 250 000 USDC envoyés au portefeuille de dons officiel de l’Ukraine, sans doute pour brouiller les pistes.

Ce type d’attaque exploite une confusion précise, que Vitalik Buterin avait décrite dès 2021. Un jeton de gouvernance, écrit-il dans son essai « Moving beyond coin voting governance », réunit deux droits que rien n’empêche de séparer : un intérêt économique dans le protocole et le droit d’en gouverner les décisions. Avec un jeton emprunté, « the borrower has governance power without economic interest » : l’emprunteur détient le pouvoir de vote sans la moindre exposition au risque. Le flash loan pousse cette dissociation à l’extrême, sur la durée d’un seul bloc.

La parade est aujourd’hui bien connue : figer le poids de vote à un bloc antérieur à la proposition, via un snapshot ou des checkpoints de solde. Des jetons empruntés puis rendus dans la même transaction ne comptent alors pas. C’est précisément ce que font les implémentations modernes comme le Governor d’OpenZeppelin, et c’est pourquoi les attaques flash pures sont devenues rares sur les protocoles bien construits. La liquidité mobilisable reste pourtant colossale, alimentée par la profondeur des marchés de crédit on-chain, ce qui laisse la menace entière pour toute DAO qui aurait négligé ce détail.

BonkDAO : l’accumulation discrète poussée à l’absurde

BonkDAO montre que la version 2026 de l’attaque n’a même pas besoin d’un flash loan. Le 30 juin, une proposition est déposée sur Realms, la plateforme de gouvernance de l’écosystème Solana. Dans les jours qui suivent, un portefeuille accumule un peu plus de 1 % de l’offre totale de BONK, soit exactement ce qu’il faut pour atteindre le quorum, pour un coût estimé à 4,4 millions de dollars (environ 3,8 millions d’euros), en passant par des plateformes comme Binance et Bybit selon CoinDesk.

Le vote se referme le 6 juillet. Sur plus de 18 000 membres, sept portefeuilles seulement participent. La proposition passe avec 99,9 % d’approbation, franchissant le quorum d’un cheveu. Faute de timelock, de plancher de quorum suffisant et de multisig de contrôle, quelque 4 430 milliards de BONK, d’une valeur d’environ 20 millions de dollars (près de 17,3 millions d’euros), sont transférés automatiquement vers l’adresse de l’attaquant. Le jeton recule d’environ 8 à 10 % dans la foulée. La DAO annonce ensuite coordonner avec la Solana Foundation et les plateformes d’échange pour tracer les fonds.

La leçon tient en une phrase : ce n’est pas le 1 % qui a battu la DAO, ce sont les 97 % qui n’ont pas voté. Un quorum défini comme un nombre fixe de jetons devient trivial à franchir dès que la participation tend vers zéro. Sur une chaîne comme Solana, où les mécanismes de gouvernance se sont multipliés plus vite que les audits, ce risque touche particulièrement les projets à forte capitalisation mais à gouvernance improvisée, un angle mort que peu d’équipes prennent le temps de cartographier avant l’incident.

Le vote acheté : Compound, Curve et les marchés de corruption

Toutes les prises de contrôle ne relèvent pas du vol pur. Certaines achètent le résultat, en toute légalité apparente. En juillet 2024, un collectif surnommé les « Golden Boys » a fait adopter la proposition 289 chez Compound, qui déplaçait 499 000 COMP (environ 24 millions de dollars, quelque 21 millions d’euros) vers un coffre qu’ils contrôlaient. Le vote est passé de justesse, 682 191 voix contre 633 636, malgré l’opposition d’une partie de la communauté, rapporte The Block. La proposition a finalement été rétractée après négociation, la menace ayant été convertie en un produit de staking, note Cointelegraph. L’épisode a prouvé qu’un acteur assez gros pouvait gagner un vote frontal, sans la moindre astuce technique.

Le cas Curve va plus loin en institutionnalisant l’achat de voix. Son modèle de vote-escrow oblige à verrouiller des CRV pour obtenir du veCRV et diriger les émissions. Convex en contrôle près de la moitié, et des marchés de corruption comme Votium ou Hidden Hand permettent à quiconque de payer les détenteurs de veCRV pour orienter leurs votes. Ce que la théorie appelle vote-buying est ici une infrastructure assumée. Du point de vue sécurité, cela fait s’effondrer le terme « coût d’acquisition des voix » de l’équation d’a16z : pourquoi acheter le jeton quand on peut en louer le droit de vote à la séance ? La frontière entre politique interne normale et attaque devient alors franchement floue, ce qui complique aussi le travail des régulateurs.

La proposition piégée : quand le calldata ment

Avoir la majorité ne suffit pas encore : il faut que les votants approuvent la bonne charge utile. Or ils l’approuvent rarement en connaissance de cause. Le 20 mai 2023, un attaquant a soumis à Tornado Cash une proposition en apparence identique à une proposition déjà validée par le passé. La différence était enfouie dans le code : une fois adoptée, elle activait une logique cachée qui octroyait à l’attaquant 1,2 million de voix, contre environ 700 000 voix légitimes, lui donnant le contrôle total de la DAO. Il a drainé environ 2,17 millions de dollars (près de 1,9 million d’euros), et le jeton TORN a chuté d’environ 40 %, relate CoinDesk. Fait rare, l’attaquant a ensuite soumis une proposition inverse pour restituer le contrôle de la gouvernance, comme le détaille Halborn.

Le mécanisme est l’équivalent gouvernance du blind signing : on approuve un calldata qu’on ne lit pas. La description lisible d’une proposition peut diverger de ce que le bytecode exécute réellement. La parade relève de la même philosophie que la sécurité des ponts cross-chain, où l’on vérifie plutôt que de croire : simulation systématique des propositions, diff lisible par un humain, fenêtre de revue obligatoire et surveillance par des tiers spécialisés. Sans cela, un vote informé reste un vœu pieux.

Quatre attaques, une même grille de lecture

Réunies dans un même tableau, ces attaques cessent d’apparaître comme des accidents isolés pour révéler une grammaire commune : un vecteur d’acquisition des voix, une faille structurelle, et une parade qui aurait suffi à changer l’issue.

La colonne de droite est la plus instructive. Dans chaque cas, la contre-mesure existait déjà ailleurs dans l’industrie au moment des faits. L’attaque n’a pas réussi parce que la défense était inconnue, mais parce qu’elle n’avait pas été implémentée.

L’apathie, la vraie faille structurelle

Derrière chaque attaque de gouvernance se cache la même condition permissive : une poignée d’acteurs détient l’essentiel du pouvoir de vote, et presque personne ne participe. Une étude de Chainalysis portant sur dix grandes DAO a établi qu’en moyenne, moins de 1 % des détenteurs concentrent environ 90 % du pouvoir de vote. Entre un détenteur sur mille et un sur dix mille possède assez de jetons pour seulement déposer une proposition ; entre un sur dix mille et un sur trente mille en a assez pour la faire passer. Sur Snapshot, la participation dépasse rarement 5 à 15 %.

Cette concentration ne touche pas que les projets obscurs. En 2026, la crise de gouvernance d’Aave a mis en lumière la même exposition sur un protocole qui gère environ 26 milliards de dollars de dépôts. Le débat portait sur la crainte qu’une délégation concentrée, autour du fondateur Stani Kulechov, puisse faire adopter ses propres budgets malgré l’opposition de la communauté. Marc Zeller, fondateur de l’Aave Chan Initiative, a résumé l’inquiétude en avertissant qu’une entité unique détenait assez de pouvoir de vote pour faire passer ses propositions budgétaires contre l’avis de la communauté, selon CoinDesk et The Block. Il ne s’agissait pas d’un vol, mais de la même faille structurelle, exposée au grand jour.

La conclusion pour un défenseur est brutale : un quorum et un seuil de proposition ne valent que ce que vaut la participation. Une DAO à 3 % de participation a de fait délégué sa sécurité à quiconque se présente. Comme pour le vol de clés privées, où les attaquants visent d’abord l’humain, le maillon faible n’est pas cryptographique, il est comportemental.

La pile défensive : ce qui arrête (ou ralentit) un attaquant

Il n’existe pas de parade unique. La défense d’une gouvernance est une pile, où chaque couche relève un des trois termes de l’équation d’a16z.

Le timelock est la couche la plus visible : un délai entre l’adoption et l’exécution, de l’ordre de deux jours chez Compound, qui laisse aux humains le temps de réagir et aux utilisateurs celui de sortir. Il ne faut pourtant pas en surestimer la portée. Buterin prévient qu’un timelock tient davantage du paywall d’un journal en ligne que d’un verrou : il fait gagner du temps, il n’empêche rien à lui seul. C’est pourquoi il se double d’un veto ou d’un Security Council, comme les douze membres élus qui peuvent annuler une proposition malveillante chez Arbitrum.

Deux couches méritent une attention particulière. Le snapshot du poids de vote neutralise les flash loans en figeant les soldes à un bloc passé, et la documentation d’OpenZeppelin insiste sur la séparation stricte des rôles autour du TimelockController : c’est le timelock qui doit détenir les fonds, et seul le Governor doit pouvoir proposer, sous peine de créer une porte dérobée ou un déni de service. Le vote-escrow, enfin, illustre l’ambivalence des défenses : verrouiller les jetons augmente le coût d’acquisition des voix, mais c’est ce même mécanisme qui a fait naître les marchés de corruption de Curve. Aucune parade n’est gratuite.

Auditer la gouvernance comme on audite le code

En 2026, la revue de sécurité d’une gouvernance est devenue une discipline distincte de l’audit de smart contract. Elle ne cherche pas des bugs, elle cherche des rapports de force. Une check-list minimale ressemble à ceci.

• Existe-t-il un timelock, et de quelle durée ? Qui peut exécuter pendant ce délai ?
• Y a-t-il un veto, un guardian ou un Security Council, et est-il crédiblement indépendant ?
• Le poids de vote est-il figé par snapshot avant la proposition, pour résister aux flash loans ?
• Comment le quorum est-il défini, en nombre fixe ou en pourcentage, et quel est l’historique de participation ?
• Quel est le seuil de proposition, et à quel point la délégation est-elle concentrée ?
• La gouvernance peut-elle passer des appels externes arbitraires, ou son périmètre est-il limité aux paramètres ?
• Les propositions sont-elles simulées et comparées avant le vote ?
• Qui sont les principaux délégués, et une poignée d’entre eux pourrait-elle s’entendre ?

Peu d’audits historiques couvraient cette dimension économique, souvent jugée hors périmètre. Cela change, à mesure que les cabinets étendent leur méthodologie au-delà de l’EVM et intègrent l’analyse de la théorie des jeux à leurs revues. Une gouvernance qui n’a jamais été passée à ce crible doit être considérée comme non auditée, quel que soit le nombre de rapports rassurants sur son code.

AMF, MiCA et la responsabilité juridique d’une DAO

Le droit peine encore à saisir l’attaque de gouvernance. En Europe, le règlement MiCA et l’Autorité des marchés financiers supervisent les prestataires de services sur actifs numériques et les émetteurs de jetons, pas la logique de gouvernance d’un protocole décentralisé. Une proposition qui vide une trésorerie tombe donc dans une zone grise, d’autant que la période transitoire pour les PSAN français s’est achevée le 1er juillet 2026, redessinant la carte des acteurs conformes. Pour suivre ces échéances mouvantes, notre compte à rebours réglementaire reste la meilleure boussole.

La question de la responsabilité est tout aussi épineuse. Le précédent Ooki DAO, où la CFTC a obtenu un jugement par défaut qualifiant la DAO d’association de fait et de « personne » au sens du droit américain, montre que les votants peuvent en théorie être tenus responsables, ce qui coupe dans les deux sens. À l’inverse, dans l’affaire Mango Markets, la justice a annulé en 2025 la condamnation pour fraude d’Avraham Eisenberg, le juge estimant notamment que les smart contracts, permissionless et auto-exécutants, s’étaient comportés comme prévu, sans fausse représentation, comme l’a rapporté CoinDesk. C’est tout le paradoxe : le caractère automatique du protocole, qui permet l’attaque, complique aussi sa qualification pénale.

En pratique, la récupération des fonds dépend rarement d’une annulation on-chain, puisque le transfert était valide, mais d’une coordination hors chaîne : gel par les plateformes, coopération des ponts, action des forces de l’ordre. Les enveloppes juridiques comme la DUNA, adoptée par plusieurs États américains, cherchent justement à clarifier qui répond de quoi, comme l’expliquait CoinDesk.

Ce que 2026 a changé (et ce qui résiste)

La bonne nouvelle, c’est que les protocoles de premier plan ont intégré ces leçons. Timelocks et Security Councils sont devenus la norme sur les grandes DAO, les attaques flash pures ont été largement neutralisées par le snapshot du poids de vote, et des services de surveillance on-chain scrutent en continu les propositions anormales. La sophistication défensive a nettement progressé.

La mauvaise nouvelle, c’est que les causes profondes résistent. La concentration et l’apathie n’ont pas disparu, les marchés de corruption normalisent l’achat de voix, et l’immense majorité des DAO à longue traîne, en particulier dans l’univers des memecoins, continuent de se lancer sans le moindre garde-fou, comme l’a rappelé BonkDAO. Le secteur corrige donc sa trajectoire en échangeant une part de décentralisation contre de la sécurité : gouvernance déléguée, comités adossés, périmètre restreint. « We spent the last 10 years rediscovering the hard way that direct democracy is a bad idea », résume Ali Yahya, associé chez a16z crypto, dans Fortune.

Une chose est sûre : l’attaque de gouvernance ne disparaîtra pas, parce qu’elle exploite une vérité sociale, l’apathie, et non un bug de code. La défense ne consistera jamais à rendre l’attaque impossible, seulement à la rendre non rentable, à en relever le coût et à acheter le temps d’une réaction humaine. C’est peut-être la maturation la plus discrète de 2026 : une sécurité qui progresse là où on l’attendait le moins, dans l’urne.

Frequently Asked Questions

Qu’est-ce qu’une attaque de gouvernance en crypto ?

C’est une prise de contrôle d’un protocole par son propre mécanisme de vote, et non par une faille de code. L’attaquant réunit assez de jetons de gouvernance, par achat, emprunt ou accumulation, pour faire adopter une proposition qui détourne la trésorerie ou modifie les droits d’accès, que le smart contract exécute ensuite comme prévu.

Une attaque de gouvernance est-elle illégale ?

Le droit reste incertain. Dans l’affaire Mango Markets, la justice américaine a annulé en 2025 la condamnation pour fraude d’Avraham Eisenberg, le juge estimant notamment que les smart contracts, permissionless et auto-exécutants, s’étaient comportés comme prévu. À l’inverse, le précédent Ooki DAO montre qu’une DAO et ses votants peuvent être tenus responsables. La qualification dépend donc du montage, du lieu et de l’intention.

Comment BonkDAO a-t-elle perdu 20 millions sans piratage de code ?

L’attaquant a acheté environ 1 % de l’offre de BONK pour près de 4,4 millions de dollars, juste assez pour franchir le quorum. Seuls sept portefeuilles ont voté sur plus de 18 000 membres, la proposition est passée à 99,9 %, et faute de timelock ou de multisig, quelque 4 430 milliards de BONK (environ 20 millions de dollars) ont été transférés automatiquement.

Comment une DAO peut-elle se protéger d’une attaque de gouvernance ?

En combinant plusieurs garde-fous : un timelock entre l’adoption et l’exécution, un snapshot du poids de vote à un bloc antérieur pour neutraliser les flash loans, un quorum exprimé en pourcentage, un seuil de proposition, un veto ou un Security Council capable d’annuler une proposition malveillante, et une surveillance on-chain qui alerte sur les propositions anormales.

Un flash loan peut-il encore servir à attaquer une gouvernance en 2026 ?

C’est devenu beaucoup plus difficile. Les implémentations modernes, comme le Governor d’OpenZeppelin, figent le poids de vote à un bloc situé avant la proposition, si bien que des jetons empruntés puis rendus dans la même transaction ne comptent pas. Le risque s’est déplacé vers l’accumulation lente et l’achat ouvert de voix.

Par Anneke de Vries, rédactrice sécurité et gouvernance on-chain chez HOGE Wire.