Ein Angreifer gab rund 1.800 US-Dollar für MFAM aus, um einen böswilligen Moonwell-Vorschlag durchzusetzen, der die Kontrolle über sieben Märkte und Vermögenswerte im Wert von 1,08 Mio. US-Dollar an sich reißen könnte, und testete damit die Veto- und Governance-Verteidigungsmechanismen des Protokolls.
Ein unbekannter Angreifer gab am 26. März rund 1.800 US-Dollar aus, um etwa 40 Millionen MFAM-Token zu erwerben und einen böswilligen Governance-Vorschlag auf Moonwells Moonriver-Implementierung durchzusetzen – er vollendete die gesamte Sequenz in etwa 11 Minuten und setzte dabei etwa 1,08 Millionen US-Dollar an Nutzergeldern aufs Spiel.
Wie von The Block berichtet, zielt der Vorschlag des Angreifers, gelistet als MIP-R39, darauf ab, die Administratorrechte über sieben Kreditmärkte, den Comptroller-Vertrag und das Preis-Orakel an einen vom Angreifer kontrollierten Vertrag zu übertragen. Der Erhalt dieses Zugriffs würde es dem Angreifer effektiv ermöglichen, die Pools des Protokolls nach Belieben zu leeren. Moonwell ist ein DeFi-Kreditprotokoll, das auf Moonbeam und Moonriver, zwei Parachains innerhalb des Polkadot-Ökosystems, operiert, wo Nutzer Vermögenswerte einzahlen, um Renditen zu erzielen oder gegen Sicherheiten zu leihen.
Der Exploit zielt auf eine strukturelle Schwäche ab, die der tokenbasierten Governance eigen ist: Wenn der Governance-Token eines Protokolls zu gedrückten Preisen gehandelt wird und die Wählerbeteiligung gering ist, kann ein böswilliger Akteur mit relativ wenig Kapital genügend Stimmgewicht erwerben, um Vorschläge zu verabschieden. Genau diese Dynamik ermöglichte den Angriff – MFAM-Token im Wert von 1.800 US-Dollar reichten aus, um das Quorum zu erreichen und eine günstige Abstimmung zu sichern, bevor sich ein signifikanter Widerstand mobilisieren konnte.
Die Abstimmung über den Vorschlag bleibt bis zum 27. März offen. Obwohl das Quorum schnell erreicht wurde, ist die Mehrheit der abgegebenen Stimmen nun dagegen. Das Endergebnis hängt noch von den verbleibenden, nicht deklarierten Stimmrechten ab. Darüber hinaus unterhält Moonwell einen Notfall-Multisig-Mechanismus, bekannt als „Break Glass Guardian“, der den Governance-Prozess außer Kraft setzen und den Zugriff des Angreifers vor der Ausführung widerrufen kann, unabhängig vom Abstimmungsergebnis.
Der Vorfall ist der zweite große Sicherheitsversagen, der Moonwell innerhalb weniger Wochen getroffen hat. Im Februar erlitt das Protokoll einen früheren Exploit, als ein fehlerhaftes Orakel – Berichten zufolge mit dem KI-Modell Claude Opus 4.6 mitverfasst – Coinbase Wrapped ETH (cbETH) fälschlicherweise mit fast 1 US-Dollar statt seines tatsächlichen Marktwerts von etwa 2.200 US-Dollar bewertete, wodurch uneinbringliche Forderungen in Höhe von etwa 1,78 Millionen US-Dollar entstanden.
Governance-Angriffe sind im Bereich der dezentralen Finanzen nicht neu, aber sie zeigen weiterhin die Spannung zwischen offener Beteiligung und Protokollsicherheit auf. Der Beanstalk-Flash-Loan-Angriff von 2022 bleibt das dramatischste Beispiel für diesen Vektor, bei dem ein Angreifer über 180 Millionen US-Dollar abfließen ließ, indem er einen Flash Loan nutzte, um vorübergehend ausreichend Stimmrecht anzuhäufen, um einen betrügerischen Vorschlag in einer einzigen Transaktion zu verabschieden. Auch Compound Finance und das inzwischen nicht mehr existierende Swerve Finance standen vor ähnlichen umstrittenen Governance-Episoden, die durch konzentrierte Token-Ansammlung ausgelöst wurden.
Was den Moonwell-Fall auszeichnet, ist die reine Kosteneffizienz. Es waren keine Flash Loans erforderlich – nur ein moderater Offenmarktkauf eines Tokens mit geringer Liquidität und ein Governance-System, dem die Schutzmechanismen fehlten, um einen feindlichen Vorschlag zu verlangsamen.
Die Moonwell-Community und das Team kämpfen nun gegen die Abstimmungsfrist am 27. März an. Das Ergebnis wird zeigen, ob der Break Glass Guardian-Mechanismus und der organische Wählerwiderstand die Bedrohung neutralisieren können, bevor der Vorschlag zur Ausführung gelangt.
