- Moonwell ведёт борьбу с атакой на систему управления: злоумышленник использовал более 1808 долларов для получения достаточного количества голосов, чтобы попытаться захватить контроль над активами на сумму около 1,08 млн долларов.
- Атакующий приобрёл более 40 млн токенов MFAM, обеспечил кворум и предложил передать административные права ради потенциальной прибыли в размере 597-кратной суммы.
- Реакция сообщества оказалась решительной: более 66,7% проголосовавших выступили против предложения.
Moonwell, децентрализованный кредитный протокол, работающий на Moonriver, отражает активную попытку неизвестного злоумышленника захватить административный контроль над его смарт-контрактами посредством манипулированного голосования в системе управления.
Если это предложение будет реализовано, контроль над семью кредитными рынками, на которых хранится около 1,08 млн долларов пользовательских активов, перейдет к кошельку, который, как сообщается, предназначен для их опустошения.
Как ставка в $1,808 угрожала протоколу на $1 млн?
24 марта злоумышленник профинансировал кошелек деплойера и использовал его для покупки 40,17 млн токенов MFAM, собственного токена управления Moonwell, на децентрализованной бирже SolarBeam в Moonriver за 1 600 MOVR, что составляет 1 808 долларов.
Затем злоумышленник развернул контракт, содержащий специально созданную логику эксплуатации, и представил Предложение № 74 под названием «MIP-R39: Восстановление протокола – Перенос административных прав».
Это предложение предполагает передачу административного контроля над всеми семью кредитными рынками, Комптроллером и Оракулом контракту злоумышленника.
Blockful, платформа безопасности управления для децентрализованных автономных организаций (DAO), написала, что это предложение является очевидной атакой, добавив, что контракт злоумышленника уже содержал транзакции, необходимые для опустошения всех рынков после выполнения.
На момент фиксации состояния (снэпшота) 40,17 млн токенов MFAM злоумышленника превысили порог кворума протокола в 40 млн. Потенциальная прибыль в случае успеха составила бы примерно в 597 раз больше стоимости атаки.
Сумма средств, подвергшихся риску на рынках Moonwell в Moonriver, составляет около 1,08 млн долларов. Эта атака происходит примерно через месяц после того, как Moonwell понес убытки в размере около 1,8 млн долларов в виде плохих долгов, что связано с неправильно настроенным оракулом для его рынка Coinbase-wrapped ETH (cbETH).
Сможет ли Moonwell остановить голосование и что произойдет дальше?
Голосование сообщества данные по состоянию на 26 марта показывают, что 66,7% проголосовавших выступили против предложения. Голосование завершится 27 марта в 10:28 UTC, оставляя узкое окно для действий.
Руководитель управления Moonwell попросил того, кто стоит за этим предложением, выйти на связь и предоставить больше ясности, поделившись деталями о намерениях предложения и техническим объяснением изменений. Руководитель также попросил автора предложения взаимодействовать с сообществом на форуме.
До предоставления необходимой контекстной информации Moonwell рекомендует участникам сообщества проявлять осторожность при рассмотрении или голосовании по этому предложению, избегать поддержки предложений, не обладающих достаточной прозрачностью, и ждать дальнейших разъяснений перед принятием каких-либо действий.
На данный момент количество голосов против предложения указывает на то, что Moonwell получает преимущество.
Blockful описала две жизнеспособные стратегии защиты для предотвращения принятия предложения. Первая — мобилизовать достаточное количество голосов «Против» до истечения срока. Однако этот шаг также усложняется тем фактом, что сила голоса фиксируется на стартовом блоке предложения, что означает, что MFAM, купленные после атаки, не имеют веса в этом голосовании.
Blockful отметила, что автор предыдущего законного предложения владеет как минимум 48,8 млн единиц силы голоса в заблокированных MFAM, чего достаточно, чтобы полностью отклонить предложение одним транзакцией.
Второй и, по мнению Blockful, более безопасный вариант — Break Glass Guardian, мультисиг Gnosis Safe 2 из 3, который может полностью обойти таймлок протокола и вернуть административные права законному адресу управления, делая предложение злоумышленника недействительным, даже если оно будет принято.
Если предложение будет принято без вмешательства, злоумышленник сможет запланировать выполнение уже 27 марта, при этом 24-часовой таймлок истечет 28 марта — самая ранняя дата, когда все средства могут быть выведены.
В прошлом происходила серия атак на управление, оставивших некоторые платформы DeFi с крупными убытками. Примечательный инцидент произошел в апреле 2022 года с протоколом стейблкоина Beanstalk, который потерял 181 млн долларов в результате атаки на управление на основе флеш-кредитов, эксплуатировавшей ту же фундаментальную уязвимость с временной силой голоса и немедленным выполнением.
В 20 каз году группа инвесторов Compound Finance внесла несанкционированное предложение о перенаправлении 5% казначейства COMP в мультисиг, которым они контролировали, что вызвало backlash со стороны сообщества.
Если вы читаете это, вы уже впереди. Оставайтесь с нами, подписавшись на нашу рассылку.
Отказ от ответственности. Предоставленная информация не является торговой рекомендацией. Cryptopolitan.com Мы не несем ответственности за любые инвестиции, сделанные на основе информации, представленной на этой странице. Мы настоятельно рекомендуем проводить независимое исследование и/или проконсультироваться с квалифицированным специалистом перед принятием любых инвестиционных решений.
Ханна Коллимор
Ханна — писатель и редактор с почти десятилетним опытом ведения блогов и освещения мероприятий в криптоиндустрии. В Cryptopolitan Ханна работает над новостной страницей, освещая и анализируя последние события в сферах DeFi, RWA, криптовалютного регулирования, искусственного интеллекта и передовых технологий. Она окончила Университет Аркадии со степенью бакалавра делового администрирования.
