یک مهاجم با صرف حدود ۱,۸۰۰ دلار بر روی توکن MFAM، یک پروپوزال مخرب مونول را پیش برد که میتوانست کنترل هفت بازار و ۱.۰۸ میلیون دلار دارایی را به دست گیرد و سیستمهای وتو و دفاعی حاکمیتی آن را به چالش بکشد.
یک مهاجم ناشناس در ۲۶ مارس، تقریباً ۱,۸۰۰ دلار را صرف خرید حدود ۴۰ میلیون توکن MFAM کرد و یک پروپوزال حاکمیتی مخرب را در شبکه مونریور مونول به سرعت از تصویب گذراند – این روند کامل در حدود ۱۱ دقیقه انجام شد و تقریباً ۱.۰۸ میلیون دلار از وجوه کاربران را به خطر انداخت.
همانطور که توسط The Block گزارش شد، پروپوزال مهاجم، با عنوان MIP-R39، به دنبال انتقال حقوق مدیریتی بر هفت بازار وامدهی، قرارداد کنترلر و اوراکل قیمت به یک قرارداد تحت کنترل مهاجم است. دستیابی به این دسترسی عملاً به مهاجم اجازه میدهد تا وجوه موجود در استخرهای پروتکل را به دلخواه تخلیه کند. مونول یک پروتکل وامدهی دیفای است که بر روی مونبیم و مونریور، دو پاراچین در اکوسیستم پولکادات، فعالیت میکند، جایی که کاربران داراییها را برای کسب بازده یا وام گرفتن در برابر وثیقه سپردهگذاری میکنند.
این اکسپلویت یک نقطه ضعف ساختاری رایج در حاکمیت مبتنی بر توکن را هدف قرار میدهد: هنگامی که توکن حاکمیتی یک پروتکل با قیمتهای پایین معامله میشود و مشارکت رایدهندگان کم است، یک بازیگر مخرب میتواند با سرمایه نسبتاً کمی، وزن رای کافی برای تصویب پروپوزالها را به دست آورد. این دینامیک دقیقاً همان چیزی است که حمله را ممکن ساخت – ۱,۸۰۰ دلار توکن MFAM برای رسیدن به حد نصاب و قفل کردن یک رای مساعد، پیش از آنکه مخالفت معناداری بتواند بسیج شود، کافی بود.
رایگیری در مورد این پروپوزال تا ۲۷ مارس باز است. در حالی که به سرعت به حد نصاب رسید، اکثریت آرای داده شده اکنون مخالف هستند. نتیجه نهایی همچنان به هرگونه قدرت رایدهی اعلام نشده باقیمانده بستگی دارد. جداگانه، مونول یک مکانیزم چند امضایی اضطراری به نام "Break Glass Guardian" را حفظ میکند که میتواند فرآیند حاکمیتی را لغو کرده و دسترسی مهاجم را قبل از اجرا، بدون توجه به نتیجه رایگیری، باطل کند.
این حادثه دومین شکست امنیتی بزرگ است که در عرض چند هفته به مونول وارد شده است. در ماه فوریه، این پروتکل دچار یک اکسپلویت قبلی شد، هنگامی که یک اوراکل معیوب – که طبق گزارشها با همکاری مدل هوش مصنوعی Claude Opus 4.6 نوشته شده بود – قیمت Coinbase Wrapped ETH (cbETH) را نزدیک به ۱ دلار به جای ارزش بازار واقعی آن، یعنی تقریباً ۲,۲۰۰ دلار، اشتباه ارزیابی کرد و تقریباً ۱.۷۸ میلیون دلار بدهی بد ایجاد کرد.
حملات حاکمیتی برای امور مالی غیرمتمرکز (دیفای) جدید نیستند، اما همچنان تنش بین مشارکت آزاد و امنیت پروتکل را آشکار میکنند. حمله وام آنی (Flash Loan) Beanstalk در سال ۲۰۲۲ همچنان چشمگیرترین مثال از این رویکرد است، که در آن یک مهاجم با استفاده از یک وام آنی برای جمعآوری موقت قدرت رای کافی برای تصویب یک پروپوزال جعلی در یک تراکنش واحد، بیش از ۱۸۰ میلیون دلار را تخلیه کرد. پروتکل Compound Finance و Swerve Finance (که اکنون منحل شده) نیز با اپیزودهای حاکمیتی مشابه و بحثبرانگیز ناشی از انباشت توکن متمرکز مواجه بودهاند.
آنچه مورد مونول را متمایز میکند، کارایی هزینهای خام آن است. نیازی به وامهای آنی نبود – تنها یک خرید کوچک در بازار آزاد بر روی یک توکن با نقدینگی پایین، و یک سیستم حاکمیتی که فاقد مکانیزمهای توقف اضطراری برای کند کردن یک پروپوزال خصمانه بود.
جامعه و تیم مونول اکنون در حال رقابت با مهلت رایگیری ۲۷ مارس هستند. نتیجه نشان خواهد داد که آیا مکانیزم "Break Glass Guardian" و مخالفت خودجوش رایدهندگان میتوانند تهدید را قبل از اجرای پروپوزال خنثی کنند یا خیر.
