{"id":209,"date":"2026-07-22T22:33:52","date_gmt":"2026-07-22T22:33:52","guid":{"rendered":"https:\/\/hoge.gg\/fr\/attaque-gouvernance-bonkdao-20-millions\/"},"modified":"2026-07-22T22:33:52","modified_gmt":"2026-07-22T22:33:52","slug":"attaque-gouvernance-bonkdao-20-millions","status":"publish","type":"post","link":"https:\/\/hoge.gg\/fr\/attaque-gouvernance-bonkdao-20-millions\/","title":{"rendered":"Attaque de gouvernance : comment BonkDAO a perdu 20 millions"},"content":{"rendered":"

Le 6 juillet 2026, BonkDAO a perdu environ 20 millions de dollars (soit pr\u00e8s de 17,5 millions d’euros) sans qu’aucune ligne de code n’ait \u00e9t\u00e9 pirat\u00e9e. Personne n’a exploit\u00e9 de faille dans un smart contract, aucun oracle n’a \u00e9t\u00e9 manipul\u00e9, aucune cl\u00e9 priv\u00e9e n’a fuit\u00e9. L’attaquant a simplement vot\u00e9, exactement comme le protocole le permettait. Cette affaire, r\u00e9v\u00e9l\u00e9e par CoinDesk<\/a>, remet au premier plan une cat\u00e9gorie d’exploit que la crypto sous-estime depuis des ann\u00e9es : l’attaque de gouvernance, o\u00f9 le m\u00e9canisme m\u00eame cens\u00e9 prot\u00e9ger un protocole, le vote de ses d\u00e9tenteurs de tokens, devient l’arme qui le d\u00e9pouille.<\/p>

Qu’est-ce qu’une attaque de gouvernance ?<\/h2>

Une attaque de gouvernance consiste \u00e0 utiliser les m\u00e9canismes de vote d’un protocole d\u00e9centralis\u00e9 exactement comme ils ont \u00e9t\u00e9 con\u00e7us, pour faire adopter une proposition qui profite \u00e0 l’attaquant plut\u00f4t qu’\u00e0 la communaut\u00e9. Contrairement \u00e0 un piratage classique, comme les piratages de ponts inter-cha\u00eenes qui exploitent une faille de code ou une cl\u00e9 priv\u00e9e<\/a>, il n’y a ici ni faille de smart contract ni cl\u00e9 priv\u00e9e \u00e0 voler : l’attaquant se contente d’obtenir suffisamment de pouvoir de vote (par achat, par emprunt \u00e9clair, ou par simple accumulation pendant une p\u00e9riode d’inattention) pour faire passer une proposition qui transf\u00e8re la tr\u00e9sorerie, modifie les param\u00e8tres du protocole, ou d\u00e9sactive les garde-fous existants.<\/p>

Ce type d’attaque repose sur une tension fondamentale du mod\u00e8le \u00ab un token, une voix \u00bb : si le pouvoir de d\u00e9cision est proportionnel \u00e0 la richesse plut\u00f4t qu’\u00e0 la l\u00e9gitimit\u00e9, alors quiconque peut r\u00e9unir suffisamment de capital, ou emprunter suffisamment de tokens le temps d’une transaction, peut en th\u00e9orie s’emparer du contr\u00f4le. Une gouvernance devient vuln\u00e9rable d\u00e8s que la concentration des tokens ou la faible participation des votants rendent une prise de contr\u00f4le \u00e9conomiquement rentable, un constat partag\u00e9 par l’ensemble des cabinets de s\u00e9curit\u00e9 qui suivent ce type d’incident.<\/p>

Deux familles de sc\u00e9narios dominent. La premi\u00e8re, popularis\u00e9e par l’affaire Beanstalk en 2022, utilise un flash loan : l’attaquant emprunte des sommes colossales pour quelques secondes, vote, ex\u00e9cute, et rembourse le pr\u00eat dans la m\u00eame transaction. La seconde, illustr\u00e9e spectaculairement par BonkDAO en juillet 2026, n’a besoin d’aucun emprunt : il suffit d’acheter patiemment assez de tokens sur plusieurs jours, sans attirer l’attention, pour d\u00e9passer le seuil de quorum d’une DAO o\u00f9 la participation r\u00e9elle est faible.<\/p>

BonkDAO, 6 juillet 2026 : anatomie d’un vol de 20 millions de dollars sans exploit de code<\/h2>

L’affaire commence le 30 juin 2026, quand un portefeuille anonyme soumet la proposition BIP #76, intitul\u00e9e \u00ab Sowellian BonkDAO \u00bb, sur Realms, l’outil de gouvernance standard des DAO sur Solana. Le texte, r\u00e9dig\u00e9 dans un langage qui \u00e9voque une reconstruction (\u00ab rebuild from the ashes, monetize holdings, stop the bleeding \u00bb, selon les extraits rapport\u00e9s par CoinDesk), dissimule une instruction cl\u00e9 : le transfert de 4 430 milliards de BONK de la tr\u00e9sorerie de la DAO vers une adresse contr\u00f4l\u00e9e par le proposant.<\/p>

Entre le 4 et le 5 juillet, un second portefeuille, vraisemblablement li\u00e9 au m\u00eame acteur, accumule discr\u00e8tement, via plusieurs comptes ouverts sur des plateformes d’\u00e9change centralis\u00e9es, l’\u00e9quivalent d’environ 1 % de l’offre totale de BONK. Co\u00fbt de l’op\u00e9ration : environ 4,4 millions de dollars, soit environ 3,9 millions d’euros. Ce montant correspond exactement au seuil de quorum fix\u00e9 par la DAO. Le vote se cl\u00f4ture le 6 juillet : 882,38 milliards de BONK favorables contre un seuil de quorum de 879,95 milliards, port\u00e9 par seulement sept portefeuilles alors que plus de 18 000 d\u00e9tenteurs enregistr\u00e9s n’ont pas particip\u00e9, soit un taux de participation d’environ 2,9 %, selon les chiffres relay\u00e9s par crypto.news<\/a>. La proposition passe avec 99,9 % d’approbation.<\/p>

Faute de d\u00e9lai d’ex\u00e9cution (timelock) entre l’adoption du vote et son application, le transfert des 4 430 milliards de BONK, \u00e9valu\u00e9s \u00e0 environ 20 millions de dollars (pr\u00e8s de 17,5 millions d’euros), s’ex\u00e9cute de mani\u00e8re quasi atomique. Neuf heures plus tard, environ 188 000 dollars (environ 165 000 euros) rejoignent une plateforme d’\u00e9change ; l’attaquant liquidera par la suite pour environ 5,3 millions de dollars (environ 4,65 millions d’euros) de tokens, le reste demeurant pour l’instant dans un portefeuille multisignature surveill\u00e9. BonkDAO affirme avoir identifi\u00e9 les portefeuilles d’\u00e9change utilis\u00e9s avant m\u00eame la soumission de la proposition et collabore d\u00e9sormais avec des plateformes, des ponts inter-cha\u00eenes, la Solana Foundation et les autorit\u00e9s pour tenter de r\u00e9cup\u00e9rer les fonds.<\/p>

Le prix du token BONK a recul\u00e9 d’environ 7 % dans les 24 heures suivant l’attaque, avant de se stabiliser partiellement.<\/p>

Pourquoi un quorum de 1 % n’a rien emp\u00each\u00e9<\/h2>

Ce point m\u00e9rite d’\u00eatre soulign\u00e9 : BonkDAO avait bien un quorum, contrairement \u00e0 l’image souvent v\u00e9hicul\u00e9e d’un vote totalement sans garde-fou. Le probl\u00e8me est que ce quorum \u00e9tait fix\u00e9 en proportion de l’offre en circulation, sans aucun m\u00e9canisme emp\u00eachant un acteur unique de l’atteindre seul. Avec une liquidit\u00e9 r\u00e9ellement accessible mesur\u00e9e en dizaines de millions de dollars, 1 % de l’offre s’est r\u00e9v\u00e9l\u00e9 achetable en deux jours pour environ 4,4 millions de dollars.<\/p>

Trois failles se sont combin\u00e9es, selon l’analyse relay\u00e9e par CoinDesk et crypto.news :<\/p>