Протокол DeFi Moonwell стикається з загрозою у розмірі 1 мільйон доларів після покупки дешевих токенів

Moonwell ризикує втратити 1 мільйон доларів після того, як зловмисник купив дешеві токени та подав злочинну пропозицію голосування для отримання контролю над контрактами протоколу DeFi.

Децентралізована фінансова платформа Moonwell стикається з серйозною загрозою безпеці після дуже дешевої атаки. Інцидент став несподіванкою для криптоспільноти, оскільки зловмисник витратив лише 1800 доларів. За повідомленнями форуму Moonwell, ця пропозиція може поставити під загрозу понад 1 000 000 доларів.

Дешеве придбання токенів призводить до атаки на управління

Проблема почалася з того, що невідомий зловмисник придбав близько 40 000 000 токенів MFAM. Ці токени мають право голосу в системі управління Moonwell. Тому володіння великою кількістю токенів означає, що особа може приймати важливі рішення щодо платформи.

З придбаними токенами зловмисник сформував пропозицію управління. Вона намагалася надати зловмиснику контроль над важливими смарт-контрактами, що належать гаманцю, яким керує зловмисник. Ці контракти містять оракул, контролер та сім ринків позик у протоколі.

Найбільш вражаючим аспектом була швидкість атаки. За повідомленнями, весь процес зайняв лише 11 хвилин. Спочатку були куплені токени. Потім розроблена пропозиція. Нарешті, голосування досягло кворуму, тобто достатньої кількості голосів для активації пропозиції.

Голосування за цю пропозицію триватиме до 27 березня 2026 року. Однак багато членів спільноти згодом почали голосувати проти плану. Через це кінцевий результат залишається невизначеним.

Moonwell — це протокол позик на мережах Moonbeam і Moonriver. За даними DefiLlama, наразі платформа має близько 85 000 000 доларів у своїх ринках. Тому контроль над контрактами може дозволити зловмиснику отримати доступ до великих коштів.

Попередні зломи викликали занепокоєння щодо безпеки

Це не перший випадок, коли Moonwell стикається з проблемами. У листопаді 2025 року протокол втратив невелику суму — 1 000 000 доларів через помилку оракула. Значення токена у ціновому фіді з Chainlink було неправильним.

Через неправильну ціну невеликий депозит був оцінений у понад 116 000 доларів. Внаслідок цього торговий бот використав фальшиву ціну для позичання великих сум на ринку. Це призвело до виведення коштів із пулів Moonwell на мережах Base Network і Optimism.

Після цього інциденту DAO Moonwell схвалив ряд виправлень. 6 березня 2026 року спільнота проголосувала за відновлення зняття коштів на Moonriver. Пізніше, 9 березня 2026 року, були схвалені оновлення контрактів для виправлення проблем із розрахунком винагород.

Ці оновлення були зроблені для безпеки, повідомили розробники. Однак нова атака на управління показує, що у децентралізованих системах існують ризики.

Крім того, атаки на управління є особливо небезпечними, оскільки зловмисники використовують правила голосування, а не зламують код. Тому зловмисники можуть отримати контроль без прямого зламу безпеки.

Поки що спільнота Moonwell уважно стежить за голосуванням. Якщо пропозиція не пройде, кошти залишаться в безпеці. Однак цей інцидент показав, що навіть невеликі атаки можуть поставити під загрозу мільйони доларів у платформах DeFi.