BonkDAO verliert 20 Millionen Dollar – ohne einen einzigen Code-Fehler

Stellen Sie sich einen Banktresor vor, dessen Tür so gut konstruiert ist, dass selbst der Hersteller sie als Musterbeispiel vorzeigt. Perfekte Scharniere, makellose Riegelstangen, manipulationssicherer Stahl. Nun stellen Sie sich vor, der Filialleiter verteilt Schlüssel an jeden, der in der Kneipe gegenüber ein Lotterielos kauft – und kaum jemand erscheint am Losabend. Genau das, mehr oder weniger, ist BonkDAO passiert. Der Tresor hat funktioniert. Die Lotterie war das Problem.

Die Tresortresor-Metapher wird in diesem Artikel noch einige Arbeit leisten, denn 2026 ist still und leise zum Jahr geworden, in dem DeFi aufgehört hat, Geld durch die Tür zu verlieren – und begonnen hat, es durch den Schlüsselschrank, das Telefon des Nachtmanagers und die Aktionärsversammlung, an der niemand teilgenommen hat, zu verlieren.

Was geschah

Laut Crowdfund Insider hat eine Person rund 4 Millionen Dollar ausgegeben, um sich genug Stimmrecht in BonkDAO zu verschaffen und in einer Phase schwacher Beteiligung einen bösartigen Governance-Vorschlag durchzubringen. Der Vorschlag wurde angenommen. Die Treasury verlor etwa 20 Millionen Dollar. Nettogewinn des Handels: fünf zu eins – bevor man überhaupt fragt, was die erworbenen Governance-Token auf dem Rückweg noch wert sind.

Immunefi stufte den Vorfall als Symptom eines größeren Trends ein – zu Recht. Die BonkDAO-Smart-Contracts taten das, was Smart Contracts tun sollen. Sie führten den Willen der Token-Inhaber aus. Der Wille der Token-Inhaber war eben zufällig jemand mit einem Scheckbuch und einem ruhigen Wochenende.

Das war kein Einzelfall. Zu Beginn des Jahres 2026 verlor Humanity Protocol mehr als 30 Millionen Dollar, nachdem der private Schlüssel eines Teammitglieds kompromittiert wurde. Wieder war der Contract-Code intakt. Wieder floss das Geld durch eine Tür, die nichts mit Solidity oder Rust zu tun hatte. Insgesamt verzeichnete der Sektor im Jahr 2026 Verluste von rund 972 Millionen Dollar durch Sicherheitsvorfälle – und der Großteil dieses Wertes floss nicht durch Fehler in der Smart-Contract-Logik ab. Er floss durch kompromittierte Signing-Keys, schlampige Betriebsprozesse und Governance-Regeln, die sich nachts um drei Uhr an einem Feiertag still und leise überstimmen lassen.

Der BonkDAO-Exploit ist der bislang klarste Ausdruck dieses Trends. Kein Reentrancy-Angriff. Kein Integer-Overflow. Keine Oracle-Manipulation. Nur eine Kauforder auf der Aktionärsversammlung.

Technische Anatomie

Governance-Angriffe sind langweilig – so wie Bankbetrug langweilig ist. Es gibt keinen cleveren Trick auf Assembly-Ebene, kein MEV-Bot-Ballett, keinen Zero-Day. Es gibt ein Quorum, einen Schwellenwert und einen Marktpreis für das Token, das Stimmgewicht verleiht. Wenn die Kosten für den Erwerb quorumsentscheidender Stimmen deutlich unter dem Wert der Treasury liegen, die sie kontrollieren, entsteht eine Arbitrage. BonkDAO befand sich auf der falschen Seite dieser Arbitrage.

Wer schon einmal an einem Sonntagabend einen DAO-Forum-Thread verfolgt hat, kennt das Muster. Vorschläge liegen tagelang mit zweistelliger Beteiligung da. Delegiertes Abstimmen klingt gut, bis man merkt, dass die meisten Delegierten schlafen oder desinteressiert sind. Timelocks existieren, sind aber häufig kurz genug, dass ein gut getimter Vorschlag, der abgesetzt wird, wenn Governance-Twitter ruhig ist, ausgeführt werden kann, bevor eine defensive Gegenstimme entsteht.

Der BonkDAO-Angreifer musste nichts davon brechen. Er hat es einfach bepreist. Für 4 Millionen Dollar an Token kaufte er genug Stimmgewicht, um einen Vorschlag durchzubringen, der 20 Millionen Dollar aus der Treasury transferierte. Die Solana-Runtime führte die daraus resultierenden Anweisungen genau so aus, wie sie sollte. Das ist das Unbequeme daran: Die Chain verhält sich korrekt, während das Protokoll ausgeraubt wird.

Vergleichen Sie das mit dem Humanity-Protocol-Vorfall. Anderer Angriffsvektor, gleiche Lektion. Ein einziger kompromittierter Key auf dem Rechner eines Teammitglieds – oder in einer schlecht rotierten Hot Wallet – gab einem Angreifer Signing-Autorität über Gelder. Die Auditoren hätten die Contracts ein Jahr lang durchkämmen können und nichts gefunden, weil es nichts zu finden gab. Die Schwachstelle lebte oberhalb der Contract-Schicht, in der unordentlichen menschlichen Region aus Laptops, Passwort-Managern und Slack-Channels.

Ein Blick auf die historischen Daten der Jahre 2021 bis 2025 bestätigt diesen Punkt. Über Hunderte von Vorfällen hinweg entfällt ein unverhältnismäßig großer Anteil der Verluste auf operative Mängel im Zusammenhang mit zentralisierten Börsen und Key-Management. Grenzt man den Zeitraum auf 2024 und 2025 mit fast 200 Ereignissen ein, sind mehr als die Hälfte des gesamten verlorenen Wertes auf Probleme oberhalb der Contract-Schicht zurückzuführen: Verwahrung, Autorisierung und Governance-Regeln, die unter realen Bedingungen versagten.

Wer wird getroffen

Die offensichtlichen Verlierer sind DAO-Treasuries mit geringer Wahlbeteiligung und dünnem Float. Wenn Ihr Token liquide genug ist, um in großem Umfang auf dem freien Markt gekauft zu werden, und Ihr Quorum weich genug ist, um es mit einigen Millionen an Käufen zu kippen, tragen Sie eine Zielscheibe. Ich würde behaupten, dass jede DAO mit mehr als acht Stellen in der Treasury in diesem Quartal eine Governance-Angriffskostenanalyse durchführen sollte – und die meisten tun es nicht.

An zweiter Stelle: jedes Protokoll, dessen Sicherheitshaltung im Wesentlichen lautet: „Wir wurden auditiert, wir sind gut aufgestellt." Traditionelle Audits erfassen eine Momentaufnahme des Codes zu einem einzigen Zeitpunkt. Sie sagen nichts darüber aus, wie Ihr Team Keys speichert, ob Ihre Unterzeichner Credentials rotieren oder wie Ihre Governance-Regeln standhalten, wenn ein Wal mit Absicht auftaucht. Ein in der Analyse referenziertes Protokoll wurde mehrfach auditiert und erlitt dennoch einen neunstelligen Verlust. Mehrere Audits. Neun Stellen. Das sollte ein karrierebeendendes Argument für die „Wir-wurden-auditiert"-Kommunikationsschule sein.

An dritter Stelle: L2s, Appchains und alle Protokolle, deren Upgrade-Pfad durch ein Multisig läuft. Jedes kontinuierliche Upgrade führt neue Angriffsflächen ein. Ein hoher Prozentsatz von Programmen, die seit fünf oder mehr Jahren aktiv sind, offenbart irgendwann bestätigte kritische Probleme. Wenn Ihr Protokoll lange genug läuft, um ein Maskottchen zu haben, läuft es auch lange genug, um einen Fehler zu haben, den Sie noch nicht gefunden haben.

Das am stärksten exponierte Segment ist DeFi-Lending und treasury-schwere DAOs, aber das Muster lässt sich auf jede Onchain-Organisation verallgemeinern. Wer um drei Uhr morgens schon einmal einen Produktionsvorfall debuggt hat, kennt die nüchterne Wahrheit: Der Fehler liegt fast nie dort, wo der Auditbericht es Ihnen gesagt hat. Er steckt in der operativen Infrastruktur, die niemand für dokumentierenswert hielt.

Handlungsempfehlungen für Crypto und DeFi

Wenn Sie ein Protokoll betreiben oder in einem Sicherheitsausschuss sitzen, tun Sie diese Woche drei Dinge.

Erstens: Bepreisen Sie Ihre Governance. Setzen Sie sich hin und berechnen Sie die Kosten für den Erwerb von genug Stimmrecht, um einen feindlichen Vorschlag durchzubringen, und vergleichen Sie das mit der Treasury-Exposition. Wenn das Verhältnis auch nur annähernd dem fünffachen Gewinn von BonkDAO ähnelt, haben Sie ein akutes Problem. Längere Timelocks, höhere Quorums und Delegierten-Rechenschaftspflicht sind nicht glamourös, aber sie erhöhen die Kostenkurve des Angreifers.

Zweitens: Behandeln Sie Keys und Unterzeichner als erstklassige Produktionsinfrastruktur. Das bedeutet Hardware-Wallets für jeden mit Signing-Autorität, Rotationspläne, die tatsächlich eingehalten werden, und ehrliche Gespräche darüber, welche Teammitglieder was halten. Der Verlust von Humanity Protocol ist eine Erinnerung daran, dass ein Laptop für die falsche Person 30 Millionen Dollar wert sein kann.

Drittens: Finanzieren Sie ein aktives Bug-Bounty-Programm und halten Sie es finanziert. Eine typische Auszahlung von 20.000 Dollar an Bounties verhindert Verluste, die sonst durchschnittlich in den zweistelligen Millionenbereich gehen würden. Der ROI dieser Rechnung ist absurd – und dennoch behandeln viele Protokolle Bounties noch immer als nettes Beiwerk. Kontinuierliche, anreizorientierte Überprüfung entdeckt Dinge, die ein punktuelles Audit nie entdecken wird. Kombinieren Sie das mit Runtime-Monitoring und einem Notfallplan, den Sie tatsächlich geprobt haben.

Für Engineering Leads: Gehen Sie davon aus, dass jedes Element Ihres Stacks eine Angriffsfläche ist. Code, Keys, Personal, Governance-Regeln, Monitoring. Testen Sie sie wie Sie Contracts testen. Lesen Sie die Ethereum-Dokumentation zu Upgrade-Mustern, wenn Sie rund um Proxies entwickeln, und gestalten Sie Ihre Governance in der Annahme, dass die Wahlbeteiligung schlechter ausfallen wird als erhofft.

Die wichtigsten Erkenntnisse

• Ein Kauf von Governance-Token im Wert von 4 Millionen Dollar leerte rund 20 Millionen Dollar aus BonkDAOs Treasury – während die Smart Contracts einwandfrei funktionierten.
• Im Jahr 2026 wurden rund 972 Millionen Dollar an Krypto-Verlusten verzeichnet, und der Großteil floss über Keys, operative Prozesse und Governance ab – nicht über Contract-Fehler.
• Traditionelle Audits liefern eine Momentaufnahme; sie sagen nichts über Key-Speicherung, Unterzeichner-Integrität oder Governance-Resilienz unter Angriffsbedingungen aus.
• Aktive Bug Bounties in der Größenordnung von 20.000 Dollar verhindern routinemäßig Verluste in Millionenhöhe. Der ROI-Vergleich ist eindeutig.
• Wenn die Treasury Ihrer DAO mehr wert ist als die Marktkosten für das Kippen ihres Quorums, sind Sie die nächste Schlagzeile.

Zurück zum Tresor. Die Branche hat fünf Jahre damit verbracht, die Tür zu sichern – und das weitgehend erfolgreich. Die nächsten fünf Jahre drehen sich um die Lotterie, den Nachtmanager und den Schlüsselschrank. BonkDAO hat gerade allen gezeigt, was passiert, wenn man diese Dinge dem Zufall überlässt.