Moonwell 是一个运行在 Moonriver 上的去中心化借贷协议，它正在对抗一名身份不明的攻击者，该攻击者试图通过操纵治理投票来夺取其智能trac的管理控制权。.
如果该提案得以实施，七个借贷市场的控制权（持有约 108 万美元的用户资产）将移交给一个据称旨在榨干这些资产的钱包。.
一笔1808美元的赌注，怎么会威胁到一项价值100万美元的协议？
3 月 24 日，攻击者向部署者钱包充值，并用它从 Moonriver 上的 SolarBeam 去中心化交易所购买了 4017 万个 MFAM 代币（Moonwell 的原生治理代币），花费了 1600 MOVR，价值 1808 美元。.
攻击者随后部署了一个包含专门构建的漏洞利用逻辑的trac，并提交了题为“MIP-R39：协议恢复 - 管理员迁移”的第 74 号提案。
该提案要求将所有七个贷款市场、审计长和预言机的行政控制权移交给攻击者的trac方。.
Blockful 是一个面向去中心化自治组织 (DAO) 的治理安全平台，该平台表示，该提案显然是一种攻击，并补充说，攻击者的trac已经包含了在执行时清空所有市场所需的交易。.
在快照区块，攻击者的 4017 万个 MFAM 超过了协议 4000 万的法定人数阈值。如果攻击成功，其潜在收益约为攻击成本的 597 倍。.
Moonwell旗下Moonriver市场泄露的资金总额约为108万美元。此次攻击发生在Moonwell遭受约180万美元坏账损失，该损失归因于其Coinbase封装的以太坊（cbETH）市场的预言机配置错误。
Moonwell能否阻止投票？接下来会发生什么？
社区投票数据显示，66.7%的投票反对该提案。投票将于3月27日10:28 UTC结束，留给各方采取行动的时间窗口非常有限。
Moonwell的治理负责人已要求提案发起人出面澄清，详细说明提案意图以及对变更的技术解释。负责人还要求提案人参与论坛上的社区互动。
在提供必要的背景信息之前，Moonwell 建议社区成员在审查或投票表决此提案时要谨慎，避免支持缺乏足够透明度的提案，并在采取行动之前等待进一步的澄清。.
到目前为止，反对该提案的票数表明 Moonwell 正在占据上风。.
Blockful概述了两种可行的防御策略，以阻止该提案获得通过。第一种策略是在截止日期前动员足够的“反对”票。然而，由于投票权是在提案的起始区块中确定的，这意味着攻击后购买的MFAM在这次投票中无效，因此这一策略也变得复杂。.
Blockful 指出，先前合法提案的提出者拥有至少 4880 万个质押的 MFAM 投票权，足以通过一次交易彻底否决该提案。.
第二个选项，也是 Blockful 认为更安全的选项，是 Break Glass Guardian，它是一种 2/3 Gnosis Safe 多重签名，可以完全绕过协议的时间锁，并将管理员权限转移回合法的治理地址，即使攻击者的提议获得通过，也会使其无效。.
如果该提案未经干预获得通过，攻击者最早可在 3 月 27 日开始执行攻击，24 小时的时间限制将于 3 月 28 日到期，这是所有资金最早可能被抽空的日期。.
过去曾发生过一系列治理攻击，导致一些去中心 DeFi 平台遭受重大损失。其中一起引人注目的dent 发生在2022年4月，Beanstalk稳定币协议因一次基于闪电贷的治理攻击而损失了1.81亿美元。该攻击利用了相同的基本漏洞，即通过临时投票权实现即时执行。.
2024 年，Compound Finance 的一群投资者提交了一份未经请求的提案，要求将 COMP 资金的 5% 转移到他们控制的多重签名账户中，这引发了社区的强烈反对。.
