BonkDAO : l'attaquant parque 19M$ dans un multisig « BONK 2.0 » tracé par Chainalysis

Au lendemain du drain de trésorerie de BonkDAO — la DAO du memecoin BONK sur Solana — la firme d'analyse on-chain Chainalysis documente le mouvement des fonds volés dans une publication publique : les ~19 millions de dollars en BONK n'ont pas été blanchis dans la foulée, mais parqués dans un multisig à trois clés qu'elle qualifie de « BONK 2.0 ». Un montant plus modeste de ~188 000 $ a été envoyé vers un exchange centralisé, vraisemblablement pour un premier cash-out. L'affaire est relayée par Cryptoast, Coin Academy et Cryptonaute, sur la base de la note de Chainalysis et des données on-chain Solana.

Ce qui s'est passé la veille

Rappel du contexte 24 heures plus tôt : l'attaquant a fait passer sur la plateforme de gouvernance Solana Realms la proposition BIP-76 « Sowellian BonkDAO », dont la charge utile transférait environ 4,4 billions de BONK — soit ~19,3 M$ — de la trésorerie vers un portefeuille qu'il contrôle. Aucun bug de smart contract, aucune clé compromise : chaque étape — les achats de BONK sur Bybit et Binance, le dépôt de la proposition, le vote, l'exécution — a suivi les règles du protocole.

Le tour de force côté attaquant : franchir le quorum de 1 % de l'offre totale — environ 879,95 milliards de BONK — avec 882,38 milliards en faveur. Une marge de 2,43 milliards, soit 0,28 % au-dessus du seuil. Sept portefeuilles seulement ont voté, contre plus de 18 000 membres qui se sont abstenus. Turnout : 2,9 %.

Le twist du jour — un multisig, pas un blanchiment immédiat

D'ordinaire, un exploiteur en cash-mode envoie les fonds vers Tornado Cash ou un pont vers une autre chaîne dans les heures qui suivent. Ici, non. Neuf heures après le drain, Chainalysis observe la répartition suivante :

• ~188 000 $ envoyés vers un exchange centralisé — vraisemblablement pour tester une piste de cash-out via le fiat.
• ~19 000 000 $ transférés dans un multisig à trois signatures dont Chainalysis a identifié les trois clés :
  1. Le portefeuille votant malveillant (celui qui a rassemblé les 882 Md BONK sur Bybit et Binance).
  2. Le portefeuille récipiendaire du drain (celui qui a reçu les 4,4 T BONK exécutés par la proposition).
  3. Un troisième portefeuille que Chainalysis relie financièrement au portefeuille votant, sans en préciser publiquement la nature.

Chainalysis surnomme la structure « BONK 2.0 » — un jeu de mots sur la promesse rhétorique de la proposition (« reconstruire depuis les cendres »). Techniquement, ce n'est pas une DAO au sens de Realms : c'est un multisig standard sur Solana avec trois cosignataires.

Pourquoi parquer plutôt que blanchir

Trois hypothèses, à hiérarchiser plutôt qu'à trancher :

• Négociation de rançon. Un attaquant qui n'a pas encore blanchi peut négocier un bug-bounty rétroactif — courant dans les hacks DeFi lorsque le montant est trop gros pour un cash-out silencieux. Les 188 K$ envoyés au CEX serviraient à démontrer la capacité de mouvement sans céder l'essentiel.
• Fenêtre d'immunité juridique. Puisque le drain a suivi la procédure de gouvernance, l'attaquant peut arguer que l'exécution était procéduralement valide et tester si BonkDAO — ou une juridiction — parvient à requalifier ex-post. Le multisig visible sur Solana rend la posture publique.
• Attente d'un contexte moins scruté. La liste des exchanges où BONK est listé s'est réduite en quelques heures — Upbit et Kraken ont suspendu les dépôts et retraits. Attendre la levée des suspensions élargit les rails de sortie.

Chiffres

- Drain initial              : ~4,4 T BONK (~19,3 M$ au cours du drain)
- Quorum requis (1% supply)  : ~879,95 milliards BONK
- Votes « oui »              : 882,38 milliards BONK
- Marge au-dessus du quorum  : 2,43 milliards BONK (~0,28 %)
- Turnout                    : 7 portefeuilles ayant voté / 18 000+ abstentions (2,9 %)
- Coût d'achat côté attaquant : ~4,4 M$ (Bybit + Binance, +DeFi selon Chainalysis)
- Envoyé au CEX post-drain    : ~188 000 $ (cash-out test)
- Parqué au multisig « BONK 2.0 » : ~19 000 000 $
- Cosignataires du multisig   : 3 (votant / récipiendaire / tiers lié financièrement)
- Suspensions CEX             : Upbit, Kraken (dépôts et retraits BONK)
- Sources on-chain            : Chainalysis, Solscan

Chiffres tels que rapportés par Chainalysis et relayés par Cryptoast, Coin Academy et Cryptonaute.

Attribution — ce que Chainalysis dit et ne dit pas

Chainalysis nomme la structure, pas les personnes. Aucun acteur — ni Lazarus, ni un groupe on-chain déjà tagué — n'a été attribué publiquement à ce jour. Ce que la firme documente est :

• La piste des dépôts CEX vers Bybit et Binance qui ont financé le portefeuille votant.
• Le lien financier entre le portefeuille votant et le troisième cosignataire du multisig, mais sans en révéler la nature (dépôt commun, relation contractuelle on-chain, wallet cluster ?).
• Le timing : la proposition a été soumise dès le 30 juin, six jours avant le vote — préméditation, pas opportunisme.

En clair : la firme a une carte, pas encore un nom.

Ce qui se joue maintenant

1. La coopération des exchanges. BonkDAO a déclaré travailler avec les CEX et la Fondation Solana pour geler les fonds. Bybit et Binance sont les points d'entrée initiaux ; toute recirculation vers un CEX passera par leurs équipes conformité.
2. La réponse juridique. BonkDAO a saisi les forces de l'ordre. Une procédure française ou américaine peut, dans certains cas, ordonner le gel de fonds identifiés on-chain — le multisig public le rend techniquement possible, la juridiction reste à établir.
3. Le comportement du multisig. Toute signature du multisig « BONK 2.0 » — surtout vers une bridge ou un mixer — sera immédiatement visible et servira de signal opérationnel.
4. La refonte gouvernance côté BONK. Aucun timelock, aucun multisig de contrôle sur la trésorerie, quorum bas — les trois failles seront presque certainement corrigées. Reste à savoir si la DAO qui adoptera ces mesures est encore la même DAO, ou une entité recomposée.

Contexte — troisième attaque de gouvernance non-technique en douze mois

Le schéma « acheter le vote, puis exécuter » n'est plus une hypothèse académique. Nous avons couvert un précédent récent dans le même registre :

• Tornado Cash DAO — proposition malveillante quasi-identique, 23 M$ de TORN visés en mai 2026, déjouée in extremis par la communauté.

Le fil rouge : la gouvernance par jeton pondéré, sans timelock ni multisig sur la trésorerie, est un vecteur d'attaque à part entière — pas un accident. La différenciation « code hack » vs « gouvernance légitime » n'a plus de signification opérationnelle : dans les deux cas, la perte est réelle, la juridiction incertaine, la remédiation dépendante des CEX. Le multisig « BONK 2.0 » n'est pas une bizarrerie du dossier BONK — c'est la prochaine étape logique lorsque le blanchiment immédiat n'est plus la meilleure option.