Den 6. juli 2026 brukte en ukjent akt\u00f8r rundt fire millioner dollar p\u00e5 \u00e5 kj\u00f8pe opp token i BonkDAO. Fem dager senere var 20 millioner dollar borte fra kassen, uten at en eneste linje kode ble brutt opp. Stemmene var ekte, prosessen fulgte protokollens egne regler til punkt og prikke, og pengene forsvant likevel. Dette er kjernen i det som kalles et governance-angrep: en metode der angriperen ikke bryter seg inn i systemet, men kj\u00f8per seg retten til \u00e5 t\u00f8mme det, lovlig, innenfra.<\/p>
Et governance-angrep skjer n\u00e5r noen skaffer seg nok stemmerett i en DAO (Decentralized Autonomous Organization) til \u00e5 presse gjennom et forslag som protokollens egne regler tillater, men som fellesskapet aldri ville godkjent hvis det visste hva forslaget faktisk gjorde. Sikkerhetsselskapet Halborn definerer det som et angrep der noen klarer \u00e5 manipulere blokkjede-prosjekter som bruker desentraliserte styringsstrukturer, ved \u00e5 skaffe seg nok stemmerett til \u00e5 omforme reglene eller p\u00e5virke nok token-holdere til \u00e5 stemme partisk over et forslag, se Halborns gjennomgang av angrepstypen<\/a>.<\/p> Dette skiller seg fundamentalt fra et klassisk hack. N\u00e5r en bro blir hacket<\/a>, er det en kodefeil, en forfalsket signatur eller en kompromittert n\u00f8kkel som svikter. Ved et governance-angrep svikter ingenting teknisk i det hele tatt. Smart-kontrakten gj\u00f8r n\u00f8yaktig det den er programmert til \u00e5 gj\u00f8re: den teller stemmer, sjekker om terskelen er n\u00e5dd, og utf\u00f8rer forslaget. Problemet ligger i hvem som eier stemmene, ikke i koden som teller dem.<\/p> HOGE Wire har tidligere forklart grunnmekanikken<\/a> i denne angrepstypen. Siden den gang har m\u00f8nsteret bare blitt tydeligere: sommeren 2026 viste BonkDAO at det samme trikset fortsatt fungerer, fire \u00e5r etter at Beanstalk Farms skrev l\u00e6reboken i kategorien.<\/p> For \u00e5 forst\u00e5 hvorfor angrepet fungerer, m\u00e5 man forst\u00e5 hvordan styringen faktisk er bygget opp. De aller fleste DeFi-protokoller, som Compound, Uniswap, Aave og Curve, bruker en variant av samme mal, ofte bygget p\u00e5 rammeverket OpenZeppelin Governor eller distribuert gjennom styringsplattformer som Tally og Snapshot.<\/p> N\u00e5r alle disse leddene fungerer som tiltenkt, er systemet robust. Svakheten er at hvert ledd kan svekkes eller omg\u00e5s hver for seg, og et governance-angrep er som regel et angrep p\u00e5 ett spesifikt ledd i denne kjeden, sjelden p\u00e5 hele systemet samtidig. Mange mindre DAO-er kopierer dessuten standardoppsettet uten \u00e5 justere quorum eller timelock til sin egen, ofte langt tynnere, markedsverdi, noe som i praksis senker kostnaden for et angrep betraktelig.<\/p> Selv om hver sak har sine egne detaljer, faller de aller fleste governance-angrepene i praksis inn i fire hovedkategorier.<\/p> I praksis overlapper metodene ofte. BonkDAO kombinerte metode tre og fire, mens Beanstalk kombinerte metode \u00e9n og fire, ettersom lavt quorum gjorde flash loanet langt mer effektivt enn det ellers ville v\u00e6rt.<\/p> Beanstalk Farms var en kredittbasert stablecoin-protokoll p\u00e5 Ethereum, styrt av et governance-token kalt Stalk. 17. og 18. april 2022 tok en angriper opp om lag 1 milliard dollar i et flash loan fra Aave, konverterte deler av l\u00e5net til likviditetstoken, og byttet disse inn i Stalk. P\u00e5 f\u00e5 sekunder kontrollerte angriperen over 67 prosent av all stemmevekt i protokollen, godt over de to tredjedelene som kreves for Beanstalks \u00abemergencyCommit\u00bb-funksjon, en snarvei ment for hastesaker som lar et forslag omg\u00e5 den normale ventetiden, if\u00f8lge Bloomberg<\/a>.<\/p> Med den makten vedtok og utf\u00f8rte angriperen to forslag i samme transaksjon. Det f\u00f8rste t\u00f8mte protokollens kasse for det meste av verdien den inneholdt, til sammen rundt 182 millioner dollar (ca. 1,77 milliarder kroner). Det andre sendte 250 000 dollar i BEAN til en innsamlingsadresse for Ukraina, et p\u00e5fallende PR-grep midt i et ran, if\u00f8lge CoinDesk. Etter at flash loanet var betalt tilbake, satt angriperen igjen med rundt 76 millioner dollar (ca. 737 millioner kroner) i ren gevinst.<\/p> Beanstalk-saken ble en referanse for hele bransjen fordi den viste at et forslag kan g\u00e5 fra innsendt til fullt utf\u00f8rt p\u00e5 under ett minutt n\u00e5r det ikke finnes noen reell timelock. De fleste protokoller bygget etter 2022 har lagt inn eksplisitt beskyttelse mot nettopp denne varianten, men som BonkDAO skulle vise fire \u00e5r senere, er beskyttelsen langt fra universell.<\/p> To m\u00e5neder f\u00f8r Beanstalk viste en langt mindre kjent sak at man ikke trenger noe flash loan i det hele tatt. Build Finance DAO, en liten utviklerfokusert DAO, ble 10. februar 2022 kuppet av en anonym akt\u00f8r som over tid hadde bygget seg opp en dominerende andel av BUILD-token, if\u00f8lge The Block<\/a>.<\/p> Angriperen fremmet et forslag som overf\u00f8rte full kontroll, inkludert retten til \u00e5 mynte nye token, til egen adresse. If\u00f8lge Build-teamet la praktisk talt ingen merke til forslaget, fordi angriperen bevisst hadde deaktivert varslingsboten og dokumentasjonen som normalt gjorde fellesskapet oppmerksom p\u00e5 nye forslag. Da vedtaket var et faktum, myntet angriperen 1,1 millioner nye BUILD-token, t\u00f8mte likviditetspoolene p\u00e5 Balancer og Uniswap, og tok i tillegg 130 000 METRIC-token fra kassen. Totalt endte angriperen opp med verdier tilsvarende rundt 160 ETH, den gang om lag 470 000 dollar (ca. 4,6 millioner kroner), som deretter ble vasket gjennom miksetjenesten Tornado Cash.<\/p> Build Finance DAO illustrerer et poeng som g\u00e5r igjen i nesten alle sakene i denne artikkelen: angrepet krever ikke hemmelighold av selve transaksjonen, siden alt skjer \u00e5pent p\u00e5 en blokkjede, bare hemmelighold av oppmerksomheten rundt den.<\/p> Tornado Cash, personvernprotokollen for Ethereum som selv dukker opp som hvitvaskingskanal i flere av sakene i denne artikkelen, ble rammet av sitt eget governance-angrep 20. mai 2023. En angriper sendte inn et forslag som s\u00e5 identisk ut med et tidligere, allerede godkjent forslag, men som inneholdt \u00e9n ekstra, skjult funksjon. Da forslaget ble vedtatt, brukte angriperen den skjulte funksjonen til \u00e5 tildele seg selv 1,2 millioner stemmer, langt over terskelen p\u00e5 700 000, if\u00f8lge CoinDesk<\/a>.<\/p> Med full kontroll over styringskontrakten drenerte angriperen rundt 483 000 TORN, den gang verdt om lag 2,17 millioner dollar (ca. 21 millioner kroner), fra protokollens hvelv, if\u00f8lge The Block. TORN-token falt rundt 40 prosent p\u00e5 nyheten.<\/p> Det p\u00e5f\u00f8lgende forl\u00f8pet er uvanlig. Bare timer etter angrepet tok den samme akt\u00f8ren kontakt med fellesskapet og fremmet et nytt forslag, denne gangen om \u00e5 gi kontrollen tilbake til de opprinnelige token-holderne. 26. mai ble forslaget vedtatt med 517 000 stemmer for og null imot. Hvorfor angriperen valgte \u00e5 gi fra seg makten, er aldri blitt fullt ut forklart, men saken viser at selv et vellykket governance-angrep krever at angriperen p\u00e5 et tidspunkt l\u00f8ser inn gevinsten, noe som skaper et sporbart spor tilbake til dem, uansett hvor anonymt selve stemmekuppet var.<\/p> Ikke alle saker er rendyrkede governance-angrep i tradisjonell forstand. To eksempler viser hvor uklar grensen kan v\u00e6re.<\/p> Musikkplattformen Audius ble rammet 23. juli 2022, da en angriper utnyttet en feil i initialiseringskoden til styrings- og delegeringskontraktene som gjorde det mulig \u00e5 kalle initialiseringsfunksjonen p\u00e5 nytt. Feilen ga angriperen kontroll til \u00e5 forfalske sin egen delegerte stemmevekt og deretter vedta forslag som overf\u00f8rte 18,5 millioner AUDIO-token, den gang rundt 6 millioner dollar (ca. 58,7 millioner kroner), fra fellesskapets kasse til egen lommebok, if\u00f8lge Audius’ egen etterrapport<\/a>. Angriperen rakk \u00e5 veksle inn litt over 1 million dollar f\u00f8r teamet fikk stanset resten. Det pikante poenget er at de s\u00e5rbare kontraktene var revidert to ganger av OpenZeppelin uten at feilen ble fanget opp, et godt argument for hvorfor revisorer som CertiK<\/a> i \u00f8kende grad tester styringslogikk spesifikt, ikke bare den generelle kontraktkoden.<\/p> Mango Markets er det motsatte tilfellet: et angrep som startet som ren prismanipulasjon, men som endte som en styringsavstemning. 11. oktober 2022 bl\u00e5ste Avraham Eisenberg opp prisen p\u00e5 MNGO-derivatet han selv satt med en stor posisjon i, brukte den kunstig h\u00f8ye verdien som sikkerhet, og l\u00e5nte ut protokollens kasse for rundt 110 millioner dollar (ca. 1,07 milliarder kroner). I stedet for \u00e5 forsvinne, la Eisenberg fram et forslag for DAO-en: la ham beholde 47 millioner dollar (ca. 456 millioner kroner) som en \u00abbug-bounty\u00bb mot at han returnerte 67 millioner dollar (ca. 650 millioner kroner) og at protokollen avsto fra \u00e5 anmelde saken. Forslaget ble vedtatt 15. oktober med 96,6 prosent av stemmene, if\u00f8lge CoinDesk<\/a>. Eisenberg selv omtalte det hele offentlig som \u00aben lovlig, sv\u00e6rt l\u00f8nnsom handelsstrategi, ved \u00e5 bruke protokollen slik den var designet\u00bb.<\/p> Den DAO-godkjente avtalen viste seg imidlertid verdil\u00f8s mot amerikansk lov. Eisenberg ble arrestert i Puerto Rico i desember 2022 og senere d\u00f8mt for varebedrageri og markedsmanipulasjon, uansett hva et token-flertall hadde stemt for noen m\u00e5neder tidligere. Det er kanskje det viktigste enkeltpoenget i hele denne artikkelen: en DAO-avstemning kan flytte penger, men den kan ikke gi juridisk immunitet.<\/p> Fire \u00e5r etter Beanstalk beviste BonkDAO at ingenting fundamentalt har endret seg for protokoller som ikke har l\u00e6rt av historien. BonkDAO styrer deler av kassen til meme-token-prosjektet BONK gjennom en on-chain-avstemning der 1 prosent av tilbudet utgj\u00f8r quorum.<\/p> 30. juni 2026 ble et forslag med tittelen \u00abSowellian BonkDAO\u00bb sendt inn, med l\u00f8fter om \u00e5 innf\u00f8re nytt styresett, installere nye medlemmer og et nytt r\u00e5d, og \u00abgjenoppbygge fra asken\u00bb. 4. og 5. juli kj\u00f8pte en ukjent akt\u00f8r seg gradvis opp i BONK gjennom flere b\u00f8rslommeb\u00f8ker, for til sammen rundt 4 millioner dollar (ca. 38,8 millioner kroner). Da avstemningen stengte 6. juli, hadde bare syv lommeb\u00f8ker deltatt av over 18 000 stemmeberettigede, et oppm\u00f8te p\u00e5 2,9 prosent, og lommeb\u00f8ker knyttet til angriperen sto for 99,9 prosent av alle avgitte stemmer. Forslaget ble automatisk vedtatt og utf\u00f8rt, og 4,43 billioner BONK, verdt rundt 20 millioner dollar (ca. 194 millioner kroner), ble overf\u00f8rt til angriperens lommebok, if\u00f8lge CoinDesk<\/a>.<\/p> Rundt 5,3 millioner dollar ble solgt umiddelbart, mens 19 millioner dollar ble flyttet videre til en multisig-adresse. BONK falt rundt 8 til 10 prosent p\u00e5 nyheten. BonkDAO-teamet sporet lommeb\u00f8kene til en b\u00f8rskonto og samarbeidet med b\u00f8rser og andre nettverk i et fors\u00f8k p\u00e5 \u00e5 fryse og gjenvinne midlene, og minst \u00e9n b\u00f8rs stanset uttak av BONK i p\u00e5vente av etterforskning. Saken illustrerer et bredere poeng: koden fungerte akkurat som programmert, og reglene ble fulgt til punkt og prikke, men pengene forsvant likevel, fordi reglene selv tillot det.<\/p> BonkDAO er dermed det klareste beviset s\u00e5 langt i 2026 p\u00e5 at lavt oppm\u00f8te, ikke sofistikert kode, er den vanligste enkelt\u00e5rsaken til at governance-angrep fortsatt lykkes.<\/p> Ikke all stemmekj\u00f8p regnes som et angrep. P\u00e5 Curve Finance er det \u00e5 kj\u00f8pe innflytelse over styringen en helt \u00e5pen og legitim industri, kjent som \u00abCurve-krigene\u00bb.<\/p> Modellen fungerer slik: token-holdere l\u00e5ser CRV i opptil fire \u00e5r og mottar veCRV (vote-escrowed CRV) i bytte, if\u00f8lge Curves egen dokumentasjon<\/a>. veCRV-beholdningen avgj\u00f8r b\u00e5de stemmerett i DAO-en og, viktigere for krigene, hvor mye av de ukentlige CRV-utstedelsene som g\u00e5r til hvilken likviditetspool, gjennom s\u00e5kalt gauge voting. Protokoller som \u00f8nsker mer likviditet i sin pool, konkurrerer dermed om \u00e5 samle mest mulig veCRV-innflytelse, enten selv eller gjennom mellomledd.<\/p> Convex Finance vant denne konkurransen tidlig ved \u00e5 samle innskutt CRV p\u00e5 vegne av tusenvis av brukere, og kontrollerer fortsatt rundt halvparten av all veCRV. Markedsplasser som Votium og Hidden Hand gj\u00f8r hele prosessen enda mer eksplisitt: protokoller betaler rett og slett veCRV- og vlCVX-holdere for \u00e5 stemme en bestemt vei, en \u00e5pen \u00abbribe\u00bb-\u00f8konomi som fortsatt er aktiv i 2026, om enn i mindre skala enn under topp\u00e5ret 2021, delvis fordi CRV-utstedelsen kuttes med rundt 16 prosent hvert \u00e5r og dermed gj\u00f8r hver stemme mindre verdt \u00e5 kj\u00f8pe.<\/p> Forskjellen mellom dette og et governance-angrep er \u00e5penhet og samtykke. Curve-krigene er en kjent og \u00f8nsket del av protokollens design, annonsert offentlig og drevet av partnerskap. Et governance-angrep skjuler enten hensikten, slik som i Tornado Cash-saken, utnytter et hull i mekanikken, slik som i Beanstalk og BonkDAO, eller presser gjennom noe fellesskapet tydelig protesterer mot, slik neste sak viser. Men de to fenomenene deler samme grunnpremiss: i on-chain-styring er stemmerett en vare som kan kj\u00f8pes, og prisen p\u00e5 et flertall er ofte lavere enn folk tror.<\/p> Sommeren 2024 viste Compound Finance hvor tynn linjen mellom lovlig markedsaktivitet og et governance-angrep egentlig er. En gruppe som kalte seg \u00abGolden Boys\u00bb, ledet av en akt\u00f8r kjent under navnet Humpy, hadde over tid kj\u00f8pt seg opp i COMP-token p\u00e5 det \u00e5pne markedet, helt innenfor reglene.<\/p> 28. juli 2024 fremmet gruppen forslag 289, som ville allokere 499 000 COMP-token, den gang rundt 24 millioner dollar (ca. 233 millioner kroner) og fem prosent av hele kassen, til et renteb\u00e6rende produkt Golden Boys selv hadde utviklet. Forslaget ble vedtatt med et sv\u00e6rt knapt flertall, 682 191 mot 633 636 stemmer, if\u00f8lge The Block<\/a>.<\/p> Reaksjonen kom raskt. Michael Lewellen, sikkerhetsr\u00e5dgiver for Compound og l\u00f8sningsarkitekt hos OpenZeppelin, skrev offentlig at \u00abetter min personlige mening kan handlingene til Humpy og Golden Boys regnes som et governance-angrep dersom de fortsetter\u00bb. Kritikere pekte s\u00e6rlig p\u00e5 at midlene skulle kontrolleres av en multisig utenfor DAO-ens direkte rekkevidde, slik at fellesskapet ikke kunne kalle pengene tilbake selv om det angret seg.<\/p> Etter ukevis med offentlig press ble forslaget til slutt trukket. Humpy gikk med p\u00e5 \u00e5 kansellere det, mot at Compound i stedet utviklet et konkurrerende produkt som dekket samme behov. Ingen lov ble brutt noe sted i denne saken, og det var nettopp poenget: Golden Boys brukte et fullstendig lovlig kj\u00f8p av token til \u00e5 skaffe seg stemmemakt et bredt flertall aldri \u00f8nsket \u00e5 gi dem, det samme grunnleggende m\u00f8nsteret som BonkDAO-angriperen gjentok to \u00e5r senere, bare uten det \u00e5pne markedskj\u00f8pet og den offentlige identiteten.<\/p> Tabellen under samler de sentrale sakene omtalt i denne artikkelen, med tidspunkt, metode og omtrentlig tap omregnet til norske kroner etter en kurs p\u00e5 rundt 9,7 kroner per dollar (kurs medio juli 2026).<\/p>Anatomien til on-chain-styring<\/h2>
Fire angrepsmetoder<\/h2>
Beanstalk Farms: angrepet som skrev l\u00e6reboken (april 2022)<\/h2>
Build Finance DAO: det stille kuppet (februar 2022)<\/h2>
Tornado Cash: kuppet som ga makten tilbake (mai 2023)<\/h2>
Audius og Mango Markets: to grensetilfeller<\/h2>
BonkDAO, juli 2026: m\u00f8nsteret gjentar seg<\/h2>
Stemmekj\u00f8p som forretningsmodell: Curve-krigene<\/h2>
Compounds \u00abGolden Boys\u00bb: n\u00e5r \u00e5pent tokenkj\u00f8p blir et de facto kupp (juli 2024)<\/h2>
Governance-angrep i tall<\/h2>