Moonwell, il protocollo di prestito decentralizzato che opera su Moonriver, sta contrastando un tentativo attivo da parte di un attaccante sconosciuto di assumere il controllo amministrativo dei suoi smart contract attraverso una votazione di governance manipolata.
La proposta, se attuata, consegnerebbe il controllo di sette mercati di prestito, che detengono circa 1,08 milioni di dollari in asset degli utenti, a un portafoglio che, secondo alcune fonti, è stato progettato per svuotarli.
Come ha fatto una scommessa di 1.808 dollari a minacciare un protocollo da 1 milione di dollari?
Il 24 marzo, l'attaccante ha finanziato un portafoglio di distribuzione e lo ha utilizzato per acquistare 40,17 milioni di token MFAM, il token di governance nativo di Moonwell, dall'exchange decentralizzato SolarBeam su Moonriver per 1.600 MOVR, pari a 1.808 dollari.
L'attaccante ha quindi distribuito un contratto contenente una logica di sfruttamento appositamente creata e ha presentato la Proposta n. 74, intitolata "MIP-R39: Ripristino del protocollo – Migrazione amministrativa".
Questa proposta prevede il trasferimento del controllo amministrativo di tutti e sette i mercati dei prestiti, del Comptroller e dell'Oracolo al contratto dell'attaccante.
Blockful, una piattaforma di sicurezza per la governance delle organizzazioni autonome decentralizzate (DAO), ha scritto che la proposta è chiaramente un attacco, aggiungendo che il contratto dell'attaccante conteneva già le transazioni necessarie per svuotare tutti i mercati al momento dell'esecuzione.
Al momento dello snapshot, i 40,17 milioni di MFAM dell'attaccante hanno superato la soglia di quorum di 40 milioni prevista dal protocollo. Il guadagno implicito, in caso di successo, sarebbe stato circa 597 volte superiore al costo dell'attacco.
I fondi esposti sui mercati Moonriver di Moonwell ammontano a circa 1,08 milioni di dollari. Questo attacco arriva circa un mese dopo che Moonwell ha subito una perdita di circa 1,8 milioni di dollari a causa di crediti inesigibili, attribuita a un oracolo configurato in modo errato per il suo mercato ETH incapsulato in Coinbase (cbETH).
Riuscirà Moonwell a bloccare la votazione? E cosa succederà in seguito?
I dati di voto della comunità aggiornati al 26 marzo mostrano che il 66,7% dei voti espressi è contrario alla proposta. La votazione si chiuderà il 27 marzo alle 10:28 UTC, lasciando una finestra temporale ristretta per intervenire.
Il responsabile della governance di Moonwell ha chiesto a chiunque sia dietro la proposta di farsi avanti e fornire maggiori chiarimenti, condividendo dettagli sull'intento della proposta e una spiegazione tecnica delle modifiche. Il responsabile ha inoltre chiesto al proponente di interagire con la comunità nel forum.
Fino a quando non saranno forniti i dettagli necessari, Moonwell consiglia ai membri della comunità di agire con cautela nell'esaminare o votare questa proposta, di evitare di sostenere proposte prive di sufficiente trasparenza e di attendere ulteriori chiarimenti prima di intraprendere qualsiasi azione.
Finora, il numero di voti contrari alla proposta indica che Moonwell sta prendendo il sopravvento.
Blockful ha delineato due strategie di difesa praticabili per impedire l'approvazione della proposta. La prima consiste nel mobilitare un numero sufficiente di voti "Contro" prima della scadenza. Tuttavia, anche questa mossa è complicata dal fatto che il potere di voto viene registrato all'inizio della proposta, il che significa che gli MFAM acquistati dopo l'attacco non hanno alcun peso in questa votazione.
Blockful ha osservato che il proponente della precedente proposta legittima detiene almeno 48,8 milioni di diritti di voto in MFAM in staking, una quantità sufficiente a respingere la proposta con una singola transazione.
La seconda opzione, e secondo Blockful più sicura, è Break Glass Guardian, una firma multipla 2-su-3 Gnosis Safe in grado di aggirare completamente il blocco temporale del protocollo e trasferire i privilegi di amministratore all'indirizzo di governance legittimo, rendendo la proposta dell'attaccante inefficace anche se dovesse essere approvata.
Se la proposta venisse approvata senza interventi, l'attaccante potrebbe programmare l'esecuzione già a partire dal 27 marzo, con un blocco temporale di 24 ore che scadrebbe il 28 marzo, data più vicina alla quale tutti i fondi potrebbero essere prelevati.
In passato si sono verificati una serie di attacchi alla governance che hanno causato ingenti perdite ad alcune piattaforme DeFi. Un episodio significativo si è verificato nell'aprile del 2022 con il protocollo della stablecoin Beanstalk, che ha perso 181 milioni di dollari a causa di un attacco alla governance basato su prestiti flash, che ha sfruttato la stessa vulnerabilità fondamentale relativa al potere di voto temporaneo con esecuzione immediata.
Nel 2024, una fazione di investitori di Compound Finance ha presentato una proposta non richiesta per reindirizzare il 5% del patrimonio di COMP verso un conto multi-firma da loro controllato, scatenando una forte reazione negativa da parte della comunità.
Se stai leggendo questo, sei già un passo avanti. Rimani al passo con i tempi iscrivendoti alla nostra newsletter .