Атака на Moonwell: за $1 808 злоумышленник едва не получил контроль над DeFi-протоколом с TVL $85 млн

DeFi-протокол кредитования Moonwell с общей заблокированной стоимостью (TVL) около $85 млн оказался на грани потери управленческого контроля из-за операции стоимостью менее $2 тыс. Как сообщает DL News, злоумышленник всего за 11 минут прошёл ключевые этапы атаки на управление: купил governance-токены, внёс предложение и протолкнул его через порог кворума. На всё ушло $1 808. В случае исполнения предложения атакующий мог бы получить контроль над рядом критически важных элементов Moonwell — включая семь рынков и ключевые смарт-контракты — и потенциально вывести более $1 млн пользовательских средств. Почему $1 808 хватило, чтобы претендовать на управление протоколом с $85 млн TVL Moonwell — мультичейн-протокол кредитования, ориентированный на экосистемы Moonbeam и Moonriver. По данным DefiLlama, TVL проекта составляет около $85 млн. При таком масштабе обычно ожидаются более жёсткие барьеры управления, но в данном случае сыграло роль несоответствие между порогами в governance и рыночной ценой токена. По оценке блокчейн-компании по безопасности Blockful, атакующий приобрёл 40 млн MFAM — governance-токен Moonwell. При цене около $0.000025 затраты составили чуть более $1.8 тыс. Далее эти токены использовали для внесения предложения "MIPR39: Protocol Recovery Admin Migration" и быстрого прохождения порога кворума. С виду это выглядело как формально корректная инициатива в рамках правил, но Blockful подчёркивает, что содержание предложения носило вредоносный характер. По их данным, в контракте предложения были заранее прописаны транзакции, рассчитанные на последующее изъятие ликвидности протокола. Речь шла не о споре по управлению, а об атаке, замаскированной под governance-процесс. Принципиально важно, что уязвимость была не в коде смарт-контракта как такового — атакующий использовал слабое место механизма управления, фактически "легально" применив недостаточно защищённую модель голосования. Проблема DAO-управления не нова, но здесь она проявилась в крайней форме Moonwell — не первый проект, столкнувшийся с рисками governance. В 2024 году Compound Finance пережил похожий кризис: группа инвесторов во главе с анонимным пользователем Humpy накопила достаточно токенов управления и попыталась провести предложение о переводе примерно $24 млн из казны в приватное хранилище. Ситуацию удалось разрулить переговорами, но кейс показал, что при концентрации governance-токенов DAO может быть "перехвачен" процедурно легитимным образом. Недавно Aave также оказался в центре дискуссии о распределении доходов: комиссии от интеграции с DEX CoW Swap направлялись напрямую в Aave Labs, а не в DAO, что вновь подняло вопрос о сути владения в рамках DAO — брендом, выручкой, правами управления или лишь "оболочкой" для голосования. Инцидент с Moonwell добавил новый слой риска: угроза исходит не только от крупных держателей, но и от атакующих, которые могут скупить малоликвидные governance-токены по минимальной цене и воспользоваться низкими барьерами для внесения предложений. Если кейс Compound продемонстрировал силу доминирующих держателей, то Moonwell показал уязвимость дешёвых governance-активов. Какие шаги остаются у Moonwell Время для реакции ограничено, но оно ещё есть. По публичным результатам голосования на момент подготовки материала около 68% голосов было подано против, что говорит о восприятии инициативы как атаки, а не обычного предложения. При этом Blockful предупреждает: у злоумышленника могут быть дополнительные неидентифицированные адреса, и исход теоретически способен измениться в последний момент за счёт концентрации голосов. В такой ситуации Blockful рекомендует не полагаться только на голосование и задействовать предусмотренный защитный механизм Moonwell — Break Glass Guardian. Это аварийный "стоп-кран", позволяющий держателям multisig заранее переназначить административные права и не допустить фактического захвата ключевых функций даже при прохождении вредоносного предложения. По сути, это аналог биржевых "предохранителей" и "аварийных выключателей" в традиционных финансах. Сам факт существования такого механизма показывает, что даже проекты, декларирующие полную ончейн-автономию, в критические моменты опираются на централизованный или полуцентрализованный резерв. Инцидент подчёркивает системный риск "дешёвого управления" Случай Moonwell высветил структурную проблему: когда governance-токен долго торгуется на низких уровнях, ликвидность слабая, владение распылено, а участие в голосованиях низкое, DAO становится удобной мишенью. В индустрии DeFi риски безопасности традиционно обсуждают через призму технических уязвимостей — reentrancy, оракулы, контроль доступа, управление ключами, — но governance тоже является поверхностью атаки. Особенно опасна ситуация, когда протокол удерживает десятки или сотни миллионов долларов, а права управления стоят почти ничего. В таких условиях атакующему не нужны сложные эксплойты и прямой взлом хранилищ: достаточно найти низкий порог входа и превратить сам процесс управления в инструмент атаки. История Moonwell, вероятно, станет показательным кейсом для дискуссий о безопасности DAO-управления в 2026 году, напоминая рынку, что без корректных порогов, задержек исполнения, аварийных механизмов и продуманного распределения токенов "децентрализованное управление" может предоставить злоумышленникам путь, который дешевле, формально легитимен и на старте выглядит менее подозрительно. Ключевой вопрос для отрасли — не только выдержит ли Moonwell эту атаку, но и сколько других протоколов уже находятся в столь же уязвимом положении.