أنفق المهاجم حوالي 1808 دولارات لشراء 40 مليون رمز حوكمة MFAM ودفع اقتراحًا خبيثًا، وإذا تم تنفيذه، فسيمنح السيطرة الكاملة على سبعة أسواق إقراض من Moonwell والعقود الذكية الأساسية، مما يسمح للمهاجم بتفريغ أكثر من مليون دولار من أموال المستخدمين.
قدم الاقتراح، بعنوان “MIP-R39: استعادة البروتوكول - ترحيل الإدارة”، في 24 مارس 2026، مع انتهاء التصويت في 28 مارس. تواجه Moonwell، وهو بروتوكول إقراض متعدد السلاسل بقيمة إجمالية مقفلة تبلغ حوالي 85 مليون دولار، اختبارًا حاسمًا لضوابط الحوكمة اللامركزية الخاصة بها مع سباق أعضاء المجتمع لعرقلة الاستيلاء.
حذرت شركة ذكاء البلوكشين Blockful من أن المهاجم قد يمتلك محافظ إضافية غير معلنة تحتوي على رموز MFAM يمكن استخدامها لقلب التصويت في اللحظة الأخيرة، موصيةً بأن يقوم الموقعون على التوقيع المتعدد لـ Moonwell بتفعيل “حارس كسر الزجاج” لنقل صلاحيات الإدارة بعيدًا عن المهاجم.
آليات الهجوم والأثر المحتمل
استغلال الحوكمة منخفض التكلفة
اشترى المهاجم 40 مليون رمز MFAM بسعر يقارب 0.000025 دولار لكل رمز، وأنفق حوالي 1808 دولارات لتلبية الحد الأدنى المطلوب لتقديم اقتراح حوكمة. استخدم المهاجم عقدًا ذكيًا لشراء الرموز، مع ملاحظة Blockful أن العقد يحتوي على رمز خبيث مصمم لأتمتة الخطوات اللازمة لتفريغ سيولة البروتوكول إذا تم تنفيذ الاقتراح.
نطاق السيطرة
إذا نجح، فإن الاقتراح سيمنح المهاجم السيطرة الكاملة على الأسواق السبعة لـ Moonwell، والعقود الذكية الأساسية للبروتوكول، وسيمكنه من تفريغ أكثر من مليون دولار من أموال المستخدمين. يعمل البروتوكول على Moonbeam (شبكة فرعية على Polkadot) وMoonriver (الشبكة المعادلة على شبكة مطوري Polkadot، Kusama).
الحالة الحالية وتدابير الدفاع
نشاط التصويت
حتى 26 مارس، كانت حوالي 68% من الأصوات المصوتة ضد الاقتراح. ومع ذلك، حذرت Blockful من أن المهاجم قد يمتلك محافظ إضافية غير معلنة تحتوي على رموز MFAM يمكن استخدامها لقلب التصويت قبل الموعد النهائي يوم الجمعة.
التدابير الوقائية الموصى بها
أوصت Blockful بأن يقوم الموقعون على التوقيع المتعدد لـ Moonwell بتفعيل “حارس كسر الزجاج”، وهو آلية دفاعية ستنقل صلاحيات الإدارة بعيدًا عن المهاجم، لضمان بقاء أموال المستخدمين آمنة بغض النظر عن نتيجة التصويت. وقالت Blockful: “نظرًا لأن المهاجم لا يزال بإمكانه امتلاك محافظ مخفية، جاهزة للتصويت في آخر كتلة في حال المعارضة، نوصي الفريق الأساسي باستخدام الحارس لضمان أمان أموال المستخدمين.”
السياق الأوسع: ثغرات حوكمة DAO
حالات سابقة
تضيف حادثة Moonwell إلى قائمة متزايدة من استغلالات ونزاعات الحوكمة في التمويل اللامركزي:
- تمويل Compound (2024): مجموعة من المستثمرين بقيادة المستخدم المجهول Humpy جمعت ما يكفي من رموز الحوكمة لتمرير اقتراح كان سينقل حوالي 24 مليون دولار من خزينة المشروع إلى خزنة خاصة. وفي النهاية، تم التوصل إلى هدنة.
- Aave (ديسمبر 2025): تم اكتشاف أن الرسوم الناتجة عن تكامل مع CoW Swap كانت تُوجه مباشرة إلى Aave Labs، وهو قرار لم يوافق عليه DAO الخاص بالبروتوكول.
مخاطر الرموز ذات القيمة المنخفضة
تسلط هجمة Moonwell الضوء على ثغرة محددة في أنظمة الحوكمة التي تعتمد على رموز ذات قيمة منخفضة. من خلال شراء كمية كبيرة من الرموز الرخيصة، يمكن للمهاجم تلبية متطلبات النصاب وتقديم اقتراحات خبيثة بتكلفة مالية منخفضة.
الأسئلة الشائعة
كيف تمكن المهاجم من السيطرة على حوكمة Moonwell؟
اشترى المهاجم 40 مليون رمز MFAM مقابل حوالي 1808 دولارات، واستخدمها لتقديم اقتراح حوكمة ينقل السيطرة على أسواق Moonwell والعقود الذكية الأساسية، وضمن رمزًا خبيثًا لأتمتة تفريغ أموال المستخدمين إذا تم تمرير الاقتراح.
ما هو الوضع الحالي للاقتراح؟
ينتهي التصويت على الاقتراح في 28 مارس. حتى 26 مارس، كانت حوالي 68% من الأصوات ضد الاقتراح. ومع ذلك، يحذر خبراء الأمان من أن المهاجم قد يمتلك محافظ إضافية غير معلنة يمكن استخدامها لقلب التصويت في اللحظة الأخيرة.
ماذا يمكن أن يُفعل لوقف الهجوم؟
توصي شركة الأمان Blockful بأن يقوم الموقعون على التوقيع المتعدد لـ Moonwell بتفعيل آلية “حارس كسر الزجاج”، التي ستنقل صلاحيات الإدارة بعيدًا عن المهاجم بغض النظر عن نتيجة التصويت، لضمان بقاء أموال المستخدمين آمنة.
إخلاء المسؤولية: قد تكون المعلومات الواردة في هذه الصفحة من مصادر خارجية ولا تمثل آراء أو مواقف Gate. المحتوى المعروض في هذه الصفحة هو لأغراض مرجعية فقط ولا يشكّل أي نصيحة مالية أو استثمارية أو قانونية. لا تضمن Gate دقة أو اكتمال المعلومات، ولا تتحمّل أي مسؤولية عن أي خسائر ناتجة عن استخدام هذه المعلومات. تنطوي الاستثمارات في الأصول الافتراضية على مخاطر عالية وتخضع لتقلبات سعرية كبيرة. قد تخسر كامل رأس المال المستثمر. يرجى فهم المخاطر ذات الصلة فهمًا كاملًا واتخاذ قرارات مدروسة بناءً على وضعك المالي وقدرتك على تحمّل المخاطر. للتفاصيل، يرجى الرجوع إلى
إخلاء المسؤولية.
