Moonwell bị tấn công quản trị, đe dọa 1 triệu USD tiền vốn

• 1.800 USD vốn đầu tư đã được sử dụng để mua khoảng 40 triệu token MFAM, kích hoạt một cuộc tấn công quản trị.
• 1,08 triệu USD tiền của người dùng hiện đang gặp rủi ro trên bảy thị trường cho vay thuộc mạng lưới Moonriver.
• Ngày 27 tháng 3 là hạn chót để bỏ phiếu, với thực thể khẩn cấp của giao thức mang tên "Break Glass Guardian" đang sẵn sàng để hủy bỏ đề xuất độc hại.

Khai Thác Lỗ Hổng Quản Trị

Một thực thể ẩn danh đã thực hiện cuộc tấn công quản trị với chi phí thấp nhắm vào Moonwell, một giao thức cho vay phi tập trung hoạt động trong hệ sinh thái Polkadot. Bằng cách chỉ bỏ ra 1.800 USD để mua 40 triệu token MFAM, kẻ tấn công đã vượt qua thành công các ngưỡng quản trị của giao thức. Toàn bộ quy trình—từ mua token đến tạo và thông qua đề xuất độc hại—chỉ diễn ra trong vòng 11 phút.

Đề xuất này nhằm chiếm quyền kiểm soát hành chính đối với các hợp đồng cốt lõi của giao thức trên mạng lưới Moonriver. Nếu thành công, quyền kiểm soát bảy thị trường cho vay, bộ kiểm soát (comptroller) và oracle sẽ được chuyển sang một hợp đồng do kẻ tấn công nắm giữ. Điều này sẽ cho phép kẻ tấn công rút cạn thanh khoản của giao thức.

Rủi Ro Tài Sản Và Cơ Chế Phòng Thủ

Dữ liệu on-chain cho thấy khoảng 1,08 triệu USD tài sản của người dùng hiện đang bị đe dọa. Do thanh khoản thấp và quyền biểu quyết tập trung, đề xuất độc hại đã nhanh chóng đạt được số lượng đại biểu cần thiết. Tuy nhiên, theo các thống kê mới nhất, tâm lý cộng đồng đã thay đổi, với đa số người nắm giữ token hiện đang bỏ phiếu phản đối để bảo vệ quỹ.

Có hai phương pháp chính để ngăn chặn việc thực thi đề xuất này:

• Cộng đồng bỏ phiếu phản đối: Những người nắm giữ token có thể huy động để đảm bảo số phiếu "Không" vượt qua số lượng của kẻ tấn công trước thời hạn 27 tháng 3.
• Can thiệp khẩn cấp: Một thực thể multisig đặc biệt được gọi là "Break Glass Guardian" có quyền can thiệp, vô hiệu hóa kết quả quản trị và tước quyền truy cập hành chính của kẻ tấn công.

Các Vấn Đề Cấu Trúc Và Sự Cố Trước Đó

Sự cố này làm nổi bật lỗ hổng cấu trúc lặp đi lặp lại trong tài chính phi tập trung (DeFi), nơi các token quản trị có thể bị sử dụng làm vũ khí nếu sự phân bổ không đồng đều. Mặc dù vụ khai thác 180 triệu USD của Beanstalk vào năm 2022 vẫn là một trong những cuộc tấn công quản trị lớn nhất, nhưng trường hợp của Moonwell đáng chú ý vì chi phí cực thấp để đe dọa một nguồn quỹ triệu đô. Các dự án khác như Compound và Swerve Finance cũng từng đối mặt với những thách thức tương tự.

Cuộc khủng hoảng an ninh này xảy ra sau một giai đoạn khó khăn đối với Moonwell. Vào tháng 2, giao thức đã chịu khoản nợ xấu trị giá 1,8 triệu USD do lỗi cấu hình oracle liên quan đến Coinbase Wrapped ETH (cbETH). Cuộc tấn công mới nhất này tiếp tục gây áp lực lên khung bảo mật của giao thức khi nó đang tìm cách ổn định hoạt động trên Moonbeam và Moonriver.