BONK 治理攻击事件复盘：DAO 治理流程与风险拆解

BONK DAO 的治理攻击事件，把 Web3 世界里一个讨论已久的问题再次摆到了台前：攻击者动用约 400 万美元资金，就可能影响价值 2000 万美元的 DAO 国库。 从已披露的信息看，攻击者利用了较低的提案门槛、简单多数投票机制，以及缺少 Timelock 延迟执行等设计上的薄弱点，借助恶意提案试图转移国库资产。 BONK 治理攻击之所以值得关注，不只是因为它本身，更因为它让很多项目方开始思考一个基础问题：DAO 的治理流程到底该怎么设计，才不容易被滥用？为什么 Aa ve、ENS、Lido 等协议通常会通过多层治理机制来压缩风险，而 BONK 却相对更容易成为治理攻击目标？ 下面，我们按五个关键阶段，拆解一套常见的 DAO 治理流程：提案 → 社区讨论 → Snapshot 温度测试 → 链上投票 → Timelock 执行。 ## 1. DAO 提案阶段：为什么 Proposal 是治理流程的起点 在 DAO 治理中，提案阶段就是整个流程的入口。简单理解，任何后续投票、执行、修改规则的动作，通常都要先从一份提案开始。 正式提案一般会涉及这些内容：协议参数调整、新资产上线、国库（Treasury）资金分配、合约升级、激励计划修改，以及治理规则重构等。 为了在“效率”和“安全”之间取得平衡，不同协议通常会给提案发起人设置一定门槛，比如要求持有或被委托一定数量的治理代币。这样做的目的很直接：尽量减少垃圾提案和恶意提案进入正式流程。 - **Aa ve**：门槛较高，需约 0.5% AA VE 的投票权。 - **ENS**：执行类提案需 100,000 ENS 委托，社交类提案需约 10,000 ENS。 - **Lido**：需先在论坛讨论，并满足至少 1,000 LDO 的门槛。 - **BONK**：门槛相对较低，仅需 100M Bonk（约 425.99 美元），这也是其更容易暴露于治理攻击的重要原因之一。 可以把“提案门槛”理解为一道最前面的安检门。门槛太高，普通社区成员可能很难参与治理；门槛太低，又会让恶意提案更容易混进来。BONK 在这一环节设计得相对宽松，也就为后续风险留下了空间。 ## 2. DAO 社区讨论阶段：为什么 Governance Forum 很重要 很多成熟 DAO 在正式投票前，都会安排一个公开讨论阶段。这个阶段通常发生在治理论坛，也就是常说的 Governance Forum。 它并不是“可有可无”的附属步骤，更像是正式投票前的一次公开预审。通过这个环节，社区可以更早发现问题，而不是等到提案已经进入链上执行流程后才被动处理。 多数成熟 DAO 会要求提案先进入官方治理论坛，并完成以下几件事： - 方案披露与意见收集：让社区提前知道提案想做什么，并公开提出质疑。 - 优化提案内容：根据反馈调整参数、细节和执行方式，减少漏洞。 - 过滤低质量提案：避免不成熟或带有明显风险的方案直接进入正式投票。 不过，并不是每个 DAO 都设置了这一层。以 BONK DAO 为例，它没有正式的 Governance Forum 环节，主要通过 Solana Realms 直接提交 BIP 提案并投票。 从治理安全的角度看，Governance Forum、Snapshot、Timelock 这类多层机制的价值，在于把风险拆散到不同环节中逐步识别。相比之下，BONK 这类 Meme DAO 更强调决策效率，流程会更直接，但治理攻击的门槛也可能随之降低。 ## 3. Snapshot 温度测试：链下投票为什么能帮助过滤风险 在正式进入链上投票之前，很多 DAO 还会先做一步链下投票，这一步常见工具就是 Snapshot。 这一阶段通常被称为 Temperature Check（温度测试）。它的作用不是直接执行提案，而是先看看社区对提案的初步态度。 Snapshot 温度测试通常有三层作用： - 降低投票成本：链下投票不需要支付 Gas，普通用户参与门槛更低。 - 提前验证共识：先观察提案是否真的获得广泛支持，避免不成熟方案直接进入链上执行。 - 优化提案方向：根据结果和反馈，继续修改提案细节。 如果一个提案在 Snapshot 温度测试阶段都无法获得足够支持，通常就说明社区共识还不够。此时，提案往往会被终止，或者返回修改，而不是直接进入正式链上投票。 这也是成熟 DAO 常见的一层缓冲机制。BONK DAO 的一个问题就在于，缺少 Snapshot 这一层过滤，使得治理系统少了一道前置检查，也让提案从发起到执行之间缺乏足够的外部审视。 ## 4. 正式链上投票安全吗？真正决定风险的是治理参数 在完成社区讨论和 Snapshot 温度测试之后（如果协议采用这类流程），提案才会进入正式的链上治理阶段。 这一阶段通常由链上治理框架来执行，例如： - Governor 合约（Ethereum 生态常见） - Aragon（DAO 管理框架） - Realms（Solana 治理框架） 很多人以为，只要上了链，投票就天然安全。其实不然。DAO 治理攻击之所以会发生，关键往往不在“有没有上链”，而在链上投票参数怎么设置。 治理合约在结算时，通常会重点看两个核心指标。 **第一个是最低参与门槛（Quorum）**。可以理解为“这次投票要想有效，至少得有多少票参与”。 如果参与投票的代币总数没有达到要求，那么即使赞成票是 100%，提案也会被直接否决。 例如，在总代币供应量为 1 亿的模型中，如果 Quorum 设为 5%，那至少需要 500 万枚代币参与投票，提案才算有效。不同 DAO 的 Quorum 设置差异很大： - **Lido**：设置较高，约 5% 总供应量（约 5000 万 LDO）。 - **Aa ve**（约 2% 总供应）与 **ENS**、**BONK**（1% 总供应）则相对常规。 - **Optimism** 更为灵活，会根据提案类型在 3% 到 30% 之间动态调整。 **第二个是投票通过条件**。也就是说，在达到 Quorum 之后，提案还需要满足什么样的赞成比例，才能真正通过。 大多数 DAO 的日常治理采用简单多数制（Simple Majority），也就是赞成票（YES）大于反对票（NO）即可。 但如果是涉及协议核心规则的重大变更，例如修改 ENS 宪法、调整关键治理参数，或升级底层协议，DAO 通常会采用超级多数制（Super Majority），要求更高比例支持，比如 2/3（约 66.7%）以上赞成，甚至更高。 这样设计的目的，是避免少数持币大户仅凭简单多数，就推动对整个协议影响很大的修改。 BONK 遭遇治理攻击的另一个关键原因，就在于其治理参数相对宽松。其最低参与门槛仅需达到总供应量 1% 的 BONK 投票权即可构成有效投票，同时通过条件采用简单多数制：YES > NO。 这意味着，攻击者并不一定要掌握绝大多数 BONK，只要控制约 1% 的供应量，并让提案在投票中获得多数支持，就可能推动治理执行。对于想了解 DAO 治理是否安全的读者来说，这一点很重要：链上治理不等于天然安全，参数设计本身就是安全边界的一部分。 ## 5. Timelock 延迟执行：治理流程的最后一道缓冲带 成熟 DAO 往往不会在投票通过后立刻执行提案，而是加入 Timelock（时间锁）机制，也就是：投票通过 → Timelock 等待 → 链上执行。 可以把 Timelock 理解为“冷静期”或“缓冲期”。它的意义在于，给社区留出一段必要的反应时间，让成员可以： - 检查提案代码； - 识别潜在攻击风险； - 组织反对或发起紧急措施。 等待期结束后，提案才会由治理框架自动执行。 从治理流程设计来看，Timelock 不能消除所有风险，但它通常能显著提高恶意提案的执行难度，因为社区至少还有机会在最后一步介入。 BONK 被治理攻击的另一个重要原因，也在于其治理流程中缺少标准的 Timelock 延迟执行环节，形成了“投票通过 → 直接执行”的路径。在 BIP #76 治理攻击事件中，攻击者正是利用了这一点，在提案通过后迅速执行恶意操作。 ## 最后：BONK 治理攻击暴露了什么问题 BONK 的治理攻击事件，再次暴露了 DeFi 与 Web3 领域一个长期存在的问题：如果治理参与度持续不足，DAO 的制度设计是否还能真正发挥作用？ 当社区治理逐渐流于形式，DAO 的价值自然会被重新审视。治理参与度低迷时，DAO 架构可能更像一种效率负担，而不是协议安全的保障。 如果真正的治理权集中在少数人手中，而大多数用户只是旁观者，那么表面上的分散化不但会抬高决策成本，也可能给协议留下更大的安全漏洞。 从这个角度看，并不是所有项目都天然适合 DAO 架构。去中心化本身并不是目的，治理设计是否与协议发展阶段、社区结构和安全需求相匹配，才是更值得持续观察的问题。 无论采用什么治理模式，清晰的责任边界、可验证的流程设计，以及对风险的充分预留，始终是协议稳健运行的重要基础。对于 DAO 治理这个话题来说，真正值得关注的，不是口号式的去中心化，而是治理机制能否在关键时刻经受住压力测试。 需要说明的是，治理机制的优劣并不构成任何投资判断依据，相关项目仍存在治理、安全与执行层面的不确定性。用户在关注 Web3 或加密资产项目时，也应充分理解其中可能存在的结构性风险。