ムーンウェルは、約108万ドルの資産の支配権を奪おうとするガバナンス攻撃と戦っている。
Moonriver上で動作する分散型融資プロトコルであるMoonwellは、正体不明の攻撃者が操作されたガバナンス投票を通じてスマートtracの管理権を奪取しようとする積極的な試みと戦っている。.
この提案が実行されれば、約108万ドルのユーザー資産を保有する7つの融資市場の管理権が、それらの資産を吸い上げるために設計されたとされるウォレットに渡ることになる。.
1,808ドルの賭けが、100万ドルのプロトコルを脅かすことになったのはなぜか？
3月24日、攻撃者はデプロイヤーウォレットに資金を入金し、それを使ってMoonriver上のSolarBeam分散型取引所からMoonwellのネイティブガバナンストークンであるMFAMトークン4017万個を1600 MOVR（1808ドル相当）で購入した。.
攻撃者はその後、専用のエクスプロイトロジックを含むtracを展開し、「MIP-R39: プロトコルリカバリ - 管理者移行」というタイトルの提案書第74号を提出した。
この提案は、7つの融資市場すべて、会計検査院、およびオラクルの管理権限を攻撃者のtracに移管することを求めている。.
分散型自律組織（DAO）向けのガバナンスセキュリティプラットフォームであるBlockfulは、この提案は明らかに攻撃であると述べ、攻撃者のtracには既に実行時にすべての市場から資金を吸い上げるために必要なトランザクションが含まれていると付け加えた。.
スナップショットブロックにおいて、攻撃者の4017万MFAMはプロトコルのクォーラム閾値である4000万を上回った。攻撃が成功していれば、得られたであろう利益は攻撃コストの約597倍に相当する。.
MoonwellのMoonriverマーケットで流出した資金の総額は約108万ドルに上る。今回の攻撃は、Moonwellが損失を被って、この損失はCoinbaseラップドETH（cbETH）マーケットのオラクル設定ミスが原因とされている。
ムーンウェルは投票を阻止できるのか？そして、その後に何が起こるのか？
コミュニティ投票データによると、投票総数の66.7%が提案に反対している。投票は3月27日午前10時28分（協定世界時）に締め切られるため、行動を起こせる時間は限られている。
Moonwellのガバナンス責任者は、提案の背後にいる人物に対し、提案の意図の詳細と変更点の技術的な説明を共有することで、より明確な情報を提供するよう求めた。また、提案者に対し、フォーラムでコミュニティと交流するよう求めた。
必要な背景情報が提供されるまで、ムーンウェルは地域住民に対し、この提案を検討または投票する際には慎重に行動し、十分な透明性を欠く提案への支持を避け、行動を起こす前にさらなる説明を待つよう助言する。.
これまでのところ、この提案に対する反対票の数から判断すると、ムーンウェル社が優勢になりつつある。.
Blockfulは、この提案の可決を阻止するための2つの有効な防御戦略を提示した。1つ目は、締め切り前に十分な反対票を集めることだ。しかし、投票権は提案の開始ブロック時点のスナップショットに基づいているため、攻撃後に購入されたMFAMは投票に影響しないという点で、この戦略も複雑である。.
Blockfulは、以前の正当な提案の提案者が、ステーキングされたMFAMで少なくとも4880万の議決権を保有しており、これは1回の取引で提案を完全に否決するのに十分な力であると指摘した。.
Blockfulによると、2つ目の、そしてより安全な選択肢はBreak Glass Guardianである。これは2-of-3 Gnosis Safeマルチシグであり、プロトコルのタイムロックを完全に回避し、管理者権限を正当なガバナンスアドレスに戻すことができるため、攻撃者の提案が承認されたとしても、その提案は無効となる。.
この提案が何の介入もなく可決された場合、攻撃者は早ければ3月27日から実行をキューに入れることができ、24時間のタイムロックが3月28日に期限切れとなるため、資金がすべて引き出される可能性がある。.
過去には、ガバナンス攻撃によって一部の DeFi プラットフォームが大きな損失を被った事例が数多くあります。特に注目すべきdent 2022年4月にBeanstalkステーブルコインプロトコルで発生した、フラッシュローンを利用したガバナンス攻撃による1億8100万ドルの損失が挙げられます。この攻撃は、一時的な投票権と即時実行という根本的な脆弱性を悪用したものでした。.
2024年、Compound Financeの投資家の一派が、COMPの資金の5%を自分たちが管理するマルチシグ口座に振り向けるという一方的な提案を行い、コミュニティの反発を招いた。.
これを読んでいるあなたは、すでに一歩先を進んでいます。ニュースレターで最新情報をお届けします。
