Os atacantes gastaram aproximadamente 1.800 dólares na MFAM para promover uma proposta maliciosa da Moonwell que poderia ter assumido o controlo de sete mercados e 1,08 milhões de dólares em activos, testando os seus direitos de veto e defesas de governação.
resumo
Um ator desconhecido adquiriu 40 milhões de tokens MFAM gastando apenas US$ 1.800 para promover uma proposta de governança maliciosa que passou do quórum em aproximadamente 11 minutos na implantação do Moonriver de Moonwell. Se implementada, a proposta transferiria o controle de sete mercados de empréstimos, auditores e oráculos para contratos controlados pelos invasores, resultando na perda de aproximadamente US$ 1,08 milhão em fundos de usuários. Moonwell manteve um mecanismo de veto de emergência, o multisig Break Glass Guardian, com uma maioria de votos subsequentes contra a proposta antes do prazo final de 27 de março.
Em 26 de março, um ator desconhecido gastou aproximadamente US$ 1.800 para adquirir aproximadamente 40 milhões de tokens MFAM e executar propostas maliciosas de governança na implantação do Moonriver da Moonwell. Todo o procedimento levou aproximadamente 11 minutos para ser concluído e aproximadamente US$ 1,08 milhão em fundos de usuários estavam em risco.
Conforme relatado pelo The Block, a proposta do atacante, listada como MIP-R39, visa transferir o controle sobre sete mercados de empréstimos, contratos de auditoria contábil e oráculos de preços para contratos sob o controle do atacante. Depois de obter esse acesso, um invasor pode efetivamente esvaziar o pool do protocolo à vontade. Moonwell é um protocolo de empréstimo DeFi que opera em dois parachains dentro do ecossistema Polkadot, Moonbeam e Moonriver, permitindo aos usuários estacionar seus ativos e obter rendimento ou pedir empréstimos contra garantias.
Esta exploração visa fraquezas estruturais inerentes à governança baseada em tokens. Isto significa que se os tokens de governação de um protocolo forem negociados a preços reduzidos e a participação dos eleitores for escassa, um interveniente mal-intencionado pode ganhar peso de voto suficiente para aprovar uma proposta com relativamente pouco financiamento. Essa dinâmica foi exatamente o que tornou o ataque possível. O MFAM, no valor de 1.800 dólares, foi suficiente para atingir um quórum e garantir um voto sim antes da mobilização de qualquer oposição significativa.
Dois failsafes permanecem ativados
A votação da proposta ficará aberta até o dia 27 de março. A proposta alcançou rapidamente o quórum, mas a maioria dos eleitores atualmente se opõe a ela. O resultado final ainda depende dos restantes direitos de voto não declarados. Separadamente, Moonwell mantém um mecanismo multisig de emergência conhecido como “Break Glass Guardian”. Isto pode anular o processo de governação e revogar o acesso do atacante antes da execução, independentemente do resultado da votação.
O incidente marca a segunda grande falha de segurança que atingiu Moonwell nas últimas semanas. O protocolo sofreu uma exploração em fevereiro, quando um oráculo falho supostamente co-criado usando o modelo de IA Claude Opus 4.6 calculou mal o Coinbase Wrapped ETH (cbETH) em quase US$ 1 em vez de seu valor de mercado real de cerca de US$ 2.200, resultando em cerca de US$ 1,78 milhão em dívidas inadimplentes.
Vulnerabilidades recorrentes em DeFi
Os ataques à governação não são novos nas finanças descentralizadas, mas continuam a expor a tensão entre a participação aberta e a segurança do protocolo. O ataque de empréstimo instantâneo Beanstalk de 2022 continua a ser o exemplo mais dramático deste vetor, com os atacantes a exfiltrar mais de 180 milhões de dólares através da utilização de empréstimos instantâneos para acumular temporariamente poder de voto suficiente para aprovar propostas fraudulentas numa única transação. A Compound Finance e a agora extinta Swerve Finance enfrentaram controvérsias de governança semelhantes causadas pela acumulação concentrada de tokens.
O caso de Moonwell é caracterizado pela eficiência direta de custos. Eu não precisava de um empréstimo rápido. Com apenas compras modestas de tokens ilíquidos no mercado aberto, o sistema de governação carecia de disjuntores para abrandar propostas hostis.
A comunidade e as equipes de Moonwell estão atualmente correndo para o prazo de votação de 27 de março. O resultado testará se o mecanismo Break Glass Guardian e a oposição orgânica dos eleitores podem neutralizar a ameaça antes que a proposta seja implementada.
