BONK DAO, 악성 거버넌스 공격에 2,000만 달러 규모 자금 탈취당해

BONK 뉴스

솔라나 최대 밈코인 BONK(BONK)의 탈중앙화 자율조직인 BONK DAO가 악의적인 온체인 거버넌스 제안이 통과되면서 약 2,000만 달러 규모의 트레저리(금고) 자금을 탈취당했다고 공식 확인했다. 탈취된 토큰은 이미 중앙화 거래소로 이동하기 시작해 임박한 매도 우려를 키우고 있다. 우리가 이번 사안을 분석한 결과, 이는 스마트컨트랙트 취약점을 노린 해킹이 아니라 거버넌스 자체를 장악한 사건이다. 공격자는 보유 토큰 수에 비례해 표를 행사하는 토큰 가중 투표 구조를 악용해 트레저리 자금 이전을 합법적으로 승인시켰다. BONK DAO는 투표권 확보에 사용된 거래소 지갑들을 이미 특정했으며, 자금이 온체인에 노출돼 있는 동안 이를 추적·회수하기 위해 거래소, 솔라나 재단, 브리지 운영사, 사법 당국과 공조하고 있다고 밝혔다.

공격 방식은 DAO의 온체인 투표를 관리하는 솔라나 기반 플랫폼 렐름스(Realms)에서 벌어진 전형적인 거버넌스 공격의 교과서적 사례를 그대로 따랐다. 공격자는 코드를 침해하는 대신 정족수와 가결 기준을 충족할 만큼의 BONK를 사들인 뒤, 트레저리 자금을 자신이 통제하는 지갑으로 방출하라는 제안을 제출했다. 제안이 가결되자 실행은 자동으로 이뤄졌고 되돌릴 수 없었다. 이는 코드 버그라기보다 서명 내용을 제대로 확인하지 않고 승인해버리는 이른바 블라인드 서명 실패에 가깝다. 거버넌스 공격은 모든 단계가 프로토콜 자체 규칙에 의해 인가된다는 점에서 기술적 익스플로잇과 근본적으로 다르다. 온체인 데이터는 타임락(실행 지연 장치)이 전혀 없는 상태에서 투표 종료 직후 트레저리 자금 이전이 확정됐음을 보여준다.

온체인 예비 분석에 따르면 공격자는 충분한 거버넌스 지분을 확보하기 위해 투표에 앞서 약 400만 달러어치의 BONK를 매집한 것으로 나타났다. 이 수치는 공격의 경제학을 여실히 드러낸다. 400만 달러의 지출로 그 약 5배 규모에 달하는 트레저리에 대한 통제권을 손에 넣은 셈이다. 블록체인 조사관들은 해당 매수 물량을 특정 거래소 연계 지갑으로 추적했으며, 이는 제안이 올라오기 직전 중앙화 거래소를 통해 토큰이 조달됐음을 시사한다. 매집과 투표 사이의 촘촘한 시간 간격은 우발적 범행이 아니라 사전에 치밀하게 계획된 정황을 가리키며, DAO는 바로 이 지갑 추적 경로를 근거로 공격자에 대한 회수 및 법적 대응 논리를 구축하고 있다고 밝혔다.

당면한 최우선 과제는 자금 회수다. BONK DAO는 연루된 거래소 지갑을 표시(플래깅)했으며, 탈취된 토큰이 자동화 마켓 메이커(AMM)나 중앙화 오더북에서 매도되기 전에 관련 입금을 동결하도록 거래 플랫폼들을 압박하고 있다고 확인했다. 공조 범위는 솔라나 재단, 크로스체인 브리지 운영사, 사법 당국으로 확대됐으며, 이는 자금이 온체인에서 추적 가능한 동안 이를 봉쇄하려는 다각적 대응이다. 팀은 이번 대응이 진행 중이라는 점을 강조하면서도 회수를 장담하지는 않았다. 결국 중앙화 거래소들이 얼마나 신속하게 입금을 차단하느냐가 2,000만 달러 가운데 어느 정도를 되찾을 수 있을지를 좌우할 전망이다.

시장 반응은 즉각적이었다. BONK는 사건 공개 후 몇 시간 만에 10% 이상 급락했다. 트레저리 손실과 더불어 탈취된 토큰이 오더북에 유입될 수 있다는 매도 부담이 동시에 가격에 반영된 결과다. 위험 곡선의 투기적 끝단에 위치한 알트코인이자 이미 역대 최고가를 크게 밑도는 가격에 거래되던 BONK는 신뢰 충격에 특히 취약하며, 거버넌스 실패는 DAO가 관리하는 자산의 근간인 신뢰를 정면으로 겨냥한다. 여기에 광범위한 약세장 약세까지 겹치면서 매도 압력을 완충할 여지는 거의 남지 않았다. 트레이더들은 이제 거래소 유입량을 주시하고 있다. 탈취된 물량이 대규모로 입금될 경우 추가 하락을 촉발할 수 있기 때문이다.

이번 사건은 탈중앙화 조직이 트레저리를 어떻게 지켜야 하는가를 둘러싼 논쟁에 다시 불을 붙였다. 보안 연구자들은 BONK DAO에 결여돼 있던 것으로 보이는 익숙한 안전장치들을 지목한다. 제안 가결과 실행 사이에 의무적 지연을 부과하는 타임락, 대규모 이체에 대한 다중서명(멀티시그) 승인, 그리고 사람이 개입할 여지를 주는 트레저리 실행 게이트가 그것이다. 이 각각의 장치는 단 하나의 제안이 프로토콜 자금을 즉시 고갈시키는 사태, 바로 이번에 목격된 실패 유형을 막기 위해 설계된 것이다. 이번 사례는 다른 DAO들이 자체 거버넌스 파라미터를 점검하도록, 특히 갓 매입한 토큰이 어떠한 보유·락업 기간도 없이 투표권을 행사하도록 허용하는 구조를 재검토하도록 압박할 가능성이 크다.

COINOTAG 자체 42개 지표 통합 지지·저항(S/R) 스코어링 엔진은 가장 가까운 상단 저항선을 81/100으로 평가하며 이는 STRONG 등급이다. 전일 고점, 베어리시 인걸핑 캔들, 돈치안 상단 밴드가 겹친 구간이며, 2차 저항선은 71/100으로 산정됐다. 하방에서는 피보나치 되돌림, 돈치안 하단 밴드, 스윙 저점을 근거로 한 가장 강한 지지선이 74/100의 통합 점수를 기록했다. 파생상품 지표는 신중한 기류를 나타낸다. 무기한 선물 펀딩비는 -0.0259%로 숏 포지션이 유지 비용을 지불하고 있음을 의미하며, RSI는 45.61, MACD는 중립으로 횡보 추세를 확인시킨다. COINOTAG 공포·탐욕 지수가 24(극단적 공포)에 머무는 가운데, 74/100 지지선을 확실하게 이탈할 경우 단기 반등 시나리오는 무력화될 것이다.