BonkDAO 거버넌스 공격이 2026년 7월 6일 아침에 실행되면서 솔라나에서 가장 잘 알려진 밈 코인 커뮤니티 중 하나가 큰 충격을 받았고, 탈중앙화 거버넌스가 그것이 봉사해야 할 커뮤니티를 상대로 얼마나 쉽게 무기화될 수 있는지에 대한 불편한 질문을 던지고 있다.
Summary
핵심 요약
- 악의적인 거버넌스 제안을 통해 BonkDAO 금고에서 약 2,000만 달러 상당의 BONK 토큰이 유출되었다.
- 4.4조 개의 BONK 토큰이 Bybit 계정과 연결된 지갑으로 이전된 뒤, 다시 “eh42″로 끝나는 두 번째 솔라나 주소로 옮겨졌다.
- 이 익스플로잇은 프로젝트 자체 거버넌스 플랫폼에서 통과된 Bonk 개선 제안 #76 “Sowellian BonkDAO”를 통해 실행되었다.
- 거래소 업비트와 크라켄(Kraken)은 사건 이후 BONK 입출금을 모두 중단했다.
- BonkDAO는 법 집행 기관에 통보했으며, 자금 회수를 위해 솔라나 재단, 중앙화 거래소, 브리지 네트워크와 협력하고 있다.
거버넌스 공격으로 고갈된 BonkDAO 금고
월요일 동부시간 오전 4시 조금 지난 시각, BonkDAO 금고 지갑에서 4.4조 개가 넘는 BONK 토큰 — 전송 당시 약 1,930만 달러 상당 — 이 “JHvQ”로 끝나는 주소로 이동했다. 솔라나 블록체인 탐색기 Solscan에 따르면 해당 지갑은 Bybit 계정을 통해 자금이 공급된 것으로 확인되었다. 같은 날 동부시간 오후 3시 30분까지 이 토큰들은 다시 “eh42″로 끝나는 다른 솔라나 주소로 옮겨졌다. 두 주소 중 어느 곳에서도 다른 주체로의 추가 분배는 관찰되지 않았다.
이번 공격이 특히 눈에 띄는 이유는, 전통적인 의미에서 어떤 개인 키 해킹이나 스마트 컨트랙트 취약점도 필요하지 않았다는 점이다. 공격자는 전적으로 규칙 안에서 움직였다.
모든 것을 가능하게 만든 “Sowellian BonkDAO” 제안
BonkDAO의 자체 거버넌스 플랫폼을 통해 제출·통과된 Bonk 개선 제안 #76이 이번 익스플로잇의 중심 메커니즘이었다. “Sowellian BonkDAO”라는 제목의 이 제안은 “Sowellian 거버넌스를 구현하고, 새로운 멤버와 위원회를 구성하며, 잿더미에서 재건하고, 보유 자산을 수익화하며, 출혈을 멈추겠다”고 약속했다. 또한 모든 찬성표(“yes” 투표자)는 보상으로 BONK 토큰을 받을 자격이 있다고 유인책을 내걸었다.
그러나 그 보상 약속은 결코 현실화되지 않았다. “JHvQ” 지갑으로 이동한 토큰은 유권자들에게 분배되지 않았다. 대신 몇 시간 후 두 번째 주소로 옮겨졌는데, 이는 커뮤니티에 대한 어떤 약속을 이행하기보다는 흔적을 흐리려는 공격자의 시도와 일치하는 패턴이다.
여기서의 메커니즘은 주목할 만하다. 공격자는 투표 전에 충분한 BONK를 매수해 거버넌스 권한을 확보함으로써, 온체인에서 합법적으로 제안을 통과시킬 수 있었다. BonkDAO는 이후 제안 상정 전에 BONK 매수에 사용된 거래소 지갑을 확인했다고 밝혔는데, 이는 투표권 축적이 사후적으로는 가시적이었지만, 유출을 막기에는 제때 경고되지 못했음을 의미한다.
사건에 대한 거래소와 커뮤니티의 대응
주요 암호화폐 거래소들은 신속히 움직였다. 한국 거래소 업비트와 미국 거래소 크라켄은 사건 이후 BONK 입출금을 모두 중단했으며, 업비트는 공지에서 “보안 사고 상황에 따른 이용자 보호 조치”를 명시적으로 이유로 들었다. 중앙화 플랫폼에서 활동을 동결하는 결정은 익스플로잇 상황에서의 표준적인 1차 대응으로, 공격자가 탈취한 토큰을 현금화하기 위해 매도하는 능력을 제한한다.
이 조치가 유출된 BONK 일부를 가두기에 충분했는지는 아직 명확하지 않다. 토큰은 거래소 동결 조치가 시행되기 전에 이미 한 차례 이동을 마친 상태였다.
법 집행과 광범위한 조사
BonkDAO는 X에 게시글을 올려 법 집행 기관에 통보했으며, “자금 회수와 책임자 식별을 위해 관련 당사자들과 적극적으로 협력 중”이라고 밝혔다. Bonk 팀은 이 노력의 일환으로 중앙화 거래소, 브리지 네트워크, 솔라나 재단과 공조하고 있는데, 이는 온체인 추적의 복잡성과, 자금 회수가 거래소 같은 오프체인 중개자의 협력을 필요로 할 수 있다는 현실을 반영한 다각적 접근이다.
BONK 가격이 말해주는 것
BONK는 공격 이후 24시간 동안 약 7% 하락해 약 $0.0000043에 거래되었다. 이 가격은 사상 최고가 $0.000058 대비 약 93% 낮은 수준으로, 한때 시가총액 기준 상위 100위 안에 들었던 BONK가 이번 거버넌스 익스플로잇으로 추가 압박을 받기 훨씬 전부터 장기 하락세에 있었다는 점을 상기시킨다.
유출 규모에 비해 즉각적인 가격 하락은 상대적으로 제한적이었는데, 이는 시장이 밈 코인 해킹에 전반적으로 둔감해졌기 때문이거나, 탈취된 토큰의 대규모 매도가 아직 발생하지 않았기 때문일 수 있다. 후자의 경우가 더 불안한 시나리오다. 공격자 지갑에 앉아 있는 4.4조 개의 BONK 토큰은, 이들이 유동 시장에 도달하는 시점에 상당한 매도 압력으로 작용할 잠재력을 의미한다.
BonkDAO를 넘어 이 공격이 중요한 이유
이번 익스플로잇의 메커니즘은 더 넓은 탈중앙화 금융(DeFi) 공간에 대한 경고 신호다. 악의적 행위자가 자기 이익을 위한 제안을 통과시키기 위해 투표권을 축적하는 거버넌스 공격은 새로운 개념이 아니지만, 여전히 과소평가된 공격 벡터다. 대부분의 커뮤니티 거버넌스 시스템은 개방적이고 퍼미션리스하게 설계되어 있는데, 바로 그 점이 게임화되기 쉽게 만든다.
BonkDAO의 경우, 공격자는 공개 시장에서 투표권을 매수하고, 겉보기에 충분히 그럴듯한 언어로 작성된 제안을 제출해 심사를 통과시킨 뒤, 프로토콜이 스스로 승인한 단 한 번의 온체인 트랜잭션으로 거의 2,000만 달러를 탈취한 것으로 보인다. 익스플로잇도, 버그도 없었다. 단지, 보호 대상으로 삼았던 사람들에게 역으로 작동한, 설계대로 작동한 거버넌스 시스템이 있었을 뿐이다. 이것이 더 고치기 어려운 문제다.
보다 넓은 솔라나 생태계에 대해 이번 사건은 밈 코인 프로젝트들이 더 강력한 거버넌스 안전장치를 구축해야 한다는 압박을 강화한다. 예를 들어 금고 관련 제안에 대한 타임락(time-lock) 도입부터, 막판 투표권 축적 전략을 실행하기 어렵게 만드는 정족수(quorum) 요건까지 포함된다. BonkDAO가 이러한 가드레일을 갖추고 재건에 나설지, 아니면 커뮤니티 신뢰가 이미 회복 불가능한 수준으로 훼손되었을지가, 결국 법 집행 결과보다 토큰의 미래를 더 크게 좌우할 수 있다.
FAQ
BonkDAO 거버넌스 공격에서 무슨 일이 있었나?
“Sowellian BonkDAO”라는 이름의 악의적인 거버넌스 제안 — 공식적으로 Bonk 개선 제안 #76 — 이 BonkDAO의 자체 거버넌스 플랫폼을 통해 통과되면서, 공격자들이 단 한 번의 승인된 온체인 전송으로 금고에서 약 2,000만 달러 상당의 BONK 토큰을 유출할 수 있게 되었다.
공격 이후 탈취된 BONK 토큰은 어떻게 처리되었나?
약 4.4조 개의 BONK 토큰이 먼저 Bybit 계정과 연결된 “JHvQ”로 끝나는 지갑으로 이전되었다. 같은 날 나중에 이 토큰들은 “eh42″로 끝나는 두 번째 솔라나 주소로 옮겨졌다. 초기 전송 이후, 유출된 금고 토큰이 다른 주체에게 추가로 분배된 정황은 관찰되지 않았다.
암호화폐 거래소들은 BonkDAO 공격에 어떻게 대응했나?
한국 거래소 업비트와 미국 거래소 크라켄은 보안 사고 이후 BONK 토큰 입출금을 모두 중단했으며, 업비트는 공지에서 동결 사유로 이용자 보호 조치를 명시적으로 언급했다.
BonkDAO 해킹 조사에 법 집행 기관이 관여하고 있나?
그렇다. BonkDAO는 거버넌스 제안 상정 전에 BONK 매수에 사용된 거래소 지갑을 확인했으며, 이를 법 집행 기관에 통보했다. 팀은 또한 자금 회수와 책임자 식별을 위한 지속적인 노력의 일환으로 중앙화 거래소, 브리지 네트워크, 솔라나 재단과 공조하고 있다.
{“@context”:”https://schema.org”,”@type”:”FAQPage”,”mainEntity”:[{“@type”:”Question”,”name”:”BonkDAO 거버넌스 공격에서 무슨 일이 있었나?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:””Sowellian BonkDAO”라는 이름의 악의적인 거버넌스 제안 — 공식적으로 Bonk 개선 제안 #76 — 이 BonkDAO의 자체 거버넌스 플랫폼을 통해 통과되면서, 공격자들이 단 한 번의 승인된 온체인 전송으로 금고에서 약 2,000만 달러 상당의 BONK 토큰을 유출할 수 있게 되었다.”}},{“@type”:”Question”,”name”:”공격 이후 탈취된 BONK 토큰은 어떻게 처리되었나?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”약 4.4조 개의 BONK 토큰이 먼저 Bybit 계정과 연결된 “JHvQ”로 끝나는 지갑으로 이전되었다. 같은 날 나중에 이 토큰들은 “eh42″로 끝나는 두 번째 솔라나 주소로 옮겨졌다. 초기 전송 이후, 유출된 금고 토큰이 다른 주체에게 추가로 분배된 정황은 관찰되지 않았다.”}},{“@type”:”Question”,”name”:”암호화폐 거래소들은 BonkDAO 공격에 어떻게 대응했나?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”한국 거래소 업비트와 미국 거래소 크라켄은 보안 사고 이후 BONK 토큰 입출금을 모두 중단했으며, 업비트는 공지에서 동결 사유로 이용자 보호 조치를 명시적으로 언급했다.”}},{“@type”:”Question”,”name”:”BonkDAO 해킹 조사에 법 집행 기관이 관여하고 있나?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”그렇다. BonkDAO는 거버넌스 제안 상정 전에 BONK 매수에 사용된 거래소 지갑을 확인했으며, 이를 법 집행 기관에 통보했다. 팀은 또한 자금 회수와 책임자 식별을 위한 지속적인 노력의 일환으로 중앙화 거래소, 브리지 네트워크, 솔라나 재단과 공조하고 있다.”}}]}
본 기사는 인공지능의 도움을 받아 제작되었으며, 편집팀의 검수를 거쳤습니다.
