Moonwell đang đối phó một cuộc tấn công quản trị khi kẻ lạ mặt tìm cách chiếm quyền admin smart contract bằng một đề xuất bỏ phiếu bị thao túng, có thể mở đường rút tài sản khỏi các thị trường cho vay trên Moonriver.
Đề xuất này nhắm đến việc chuyển quyền kiểm soát các thành phần cốt lõi của giao thức sang một hợp đồng do kẻ tấn công triển khai. Nếu không bị vô hiệu hóa kịp thời, rủi ro không nằm ở tranh luận quản trị, mà ở khả năng thực thi giao dịch rút sạch tài sản sau khi đề xuất được thông qua.
- Kẻ tấn công mua 40,17 triệu MFAM để vượt ngưỡng quorum và đẩy một đề xuất chuyển quyền admin sang hợp đồng do họ kiểm soát.
- Khoảng 1,08 triệu USD tài sản người dùng trong 7 thị trường cho vay Moonwell trên Moonriver có nguy cơ bị rút nếu đề xuất được thực thi.
- Hai hướng phòng thủ chính gồm huy động phiếu “Chống” từ các ví có quyền biểu quyết đã được snapshot, và dùng “Break Glass Guardian” multisig để lấy lại admin.
Đề xuất quản trị trên Moonwell bị cáo buộc nhằm chiếm quyền admin hợp đồng
Đề xuất #74 được cho là chuyển quyền quản trị các thị trường cho vay và các mô-đun cốt lõi của Moonwell sang một hợp đồng của kẻ tấn công, tạo điều kiện để thực thi các giao dịch rút tài sản khi đề xuất có hiệu lực.
Moonwell là giao thức cho vay phi tập trung hoạt động trên Moonriver. Sự cố lần này bắt nguồn từ một đề xuất quản trị có tên “MIP-R39: Protocol Recovery – Admin Migration”, trong đó yêu cầu chuyển quyền kiểm soát admin của 7 thị trường cho vay, cùng Comptroller và Oracle, sang một hợp đồng mới.
Nền tảng bảo mật quản trị DAO Blockful đánh giá đây “rõ ràng là một cuộc tấn công”, đồng thời cho biết hợp đồng của kẻ đề xuất đã chứa sẵn logic và các giao dịch cần thiết để rút tài sản khỏi toàn bộ các market ngay khi đề xuất được thực thi.
Tổng tài sản được nhắc đến trong các thị trường Moonwell trên Moonriver vào khoảng 1,08 triệu USD. Diễn biến này xuất hiện gần một tháng sau khi Moonwell ghi nhận khoảng 1,8 triệu USD nợ xấu, được quy cho oracle cấu hình sai ở market cbETH (Coinbase-wrapped ETH).
Một khoản đặt cược 1.808 USD đã giúp vượt quorum của giao thức
Kẻ tấn công chi khoảng 1.808 USD để mua MFAM, vượt ngưỡng quorum 40 triệu và đưa đề xuất vào trạng thái có thể thông qua, dù mục tiêu nhắm tới lượng tài sản lớn hơn nhiều.
Ngày 24/3, kẻ tấn công nạp tiền vào một ví triển khai và dùng ví này mua 40,17 triệu token MFAM (token quản trị của Moonwell) từ DEX SolarBeam trên Moonriver với 1.600 MOVR, trị giá khoảng 1.808 USD tại thời điểm được nêu.
Sau đó, kẻ tấn công triển khai một hợp đồng có “exploit logic” được thiết kế riêng và đệ trình Proposal #74. Tại block snapshot, lượng 40,17 triệu MFAM của kẻ tấn công đã vượt ngưỡng quorum 40 triệu của giao thức.
Bài toán kinh tế của cuộc tấn công nằm ở chênh lệch giữa chi phí mua quyền biểu quyết và lượng tài sản có thể bị rút. Theo mô tả, mức lợi nhuận hàm ý nếu thành công vào khoảng 597 lần chi phí tấn công.
Tình trạng bỏ phiếu và mốc thời gian quyết định rủi ro thực thi
Đến ngày 26/3, đa số phiếu đã bỏ là phản đối, nhưng cửa sổ thời gian còn hẹp vì thời điểm đóng phiếu và cơ chế timelock có thể cho phép xếp hàng thực thi sớm sau khi kết thúc bỏ phiếu.
Dữ liệu bỏ phiếu cộng đồng tại trang đề xuất cho thấy 66,7% số phiếu đã bỏ đang phản đối. Thông tin theo dõi có thể xem tại trang bỏ phiếu Proposal #74.
Cuộc bỏ phiếu dự kiến đóng vào 27/3 lúc 10:28 UTC, tương đương 17:28 (GMT+7). Điều này tạo ra một khung thời gian ngắn để cộng đồng và các bên liên quan hành động, đặc biệt nếu cần huy động phiếu từ các ví có sẵn quyền biểu quyết.
Nếu đề xuất đi qua mà không có can thiệp, kẻ tấn công có thể đưa đề xuất vào hàng đợi thực thi sớm nhất từ 27/3. Với timelock 24 giờ được nêu, mốc sớm nhất mà toàn bộ tài sản có thể bị rút là 28/3 (GMT+7 tùy thời điểm xếp hàng thực thi).
Moonwell yêu cầu làm rõ đề xuất và khuyến nghị thận trọng khi bỏ phiếu
Nhóm quản trị Moonwell kêu gọi người gửi đề xuất xuất hiện, giải thích mục đích và chi tiết kỹ thuật, đồng thời khuyến nghị cộng đồng không ủng hộ các đề xuất thiếu minh bạch.
Thông báo từ phía Moonwell cho biết người phụ trách quản trị đã yêu cầu bên đứng sau đề xuất cung cấp bối cảnh, ý định và giải thích kỹ thuật cho các thay đổi, đồng thời tham gia thảo luận với cộng đồng trên diễn đàn. Nội dung liên quan nằm tại thông báo trên diễn đàn Moonwell.
Cho đến khi có đủ ngữ cảnh bắt buộc, Moonwell khuyến cáo thành viên cộng đồng thận trọng khi đánh giá hoặc bỏ phiếu, tránh ủng hộ các đề xuất thiếu minh bạch, và chờ làm rõ trước khi hành động. Diễn biến số phiếu phản đối hiện tại cho thấy phía phòng thủ đang dần chiếm ưu thế.
Hai chiến lược phòng thủ gồm tăng phiếu “Chống” và kích hoạt Break Glass Guardian
Cách chặn đề xuất gồm huy động đủ phiếu “Chống” từ quyền biểu quyết đã snapshot, hoặc dùng Break Glass Guardian multisig để chuyển admin về địa chỉ quản trị hợp lệ, khiến đề xuất trở nên vô hiệu dù có được thông qua.
Blockful nêu hai phương án khả thi. Phương án thứ nhất là huy động đủ phiếu “Against” trước hạn. Tuy nhiên, điều này phức tạp vì quyền biểu quyết được snapshot tại block bắt đầu đề xuất, nên MFAM mua sau thời điểm đó sẽ không được tính cho cuộc bỏ phiếu này.
Blockful cũng cho biết người gửi đề xuất hợp lệ trước đó nắm ít nhất 48,8 triệu quyền biểu quyết từ MFAM đã stake, đủ để đánh bại đề xuất chỉ với một giao dịch bỏ phiếu, nếu họ tham gia đúng thời điểm.
Phương án thứ hai, được đánh giá an toàn hơn, là dùng Break Glass Guardian: một multisig Gnosis Safe 2/3 có thể bỏ qua timelock và chuyển quyền admin về lại địa chỉ quản trị hợp lệ. Nếu được kích hoạt kịp thời, đề xuất của kẻ tấn công sẽ trở thành “no-op” ngay cả khi kết quả bỏ phiếu cuối cùng là thông qua.
Tấn công quản trị DeFi từng gây thiệt hại lớn và vẫn là rủi ro hệ thống
Các vụ tấn công quản trị trước đây cho thấy lỗ hổng nằm ở việc gom quyền biểu quyết tạm thời hoặc thao túng quy trình thực thi, vì vậy cơ chế snapshot, timelock và “guardian/multisig” là các lớp phòng thủ quan trọng.
Lịch sử DeFi từng ghi nhận nhiều sự cố liên quan tấn công quản trị. Một ví dụ được nhắc đến là vụ Beanstalk vào tháng 4/2022, khi giao thức stablecoin này mất 181 triệu USD bởi một cuộc tấn công quản trị dựa trên flash loan, khai thác điểm yếu “quyền biểu quyết tạm thời” đi kèm khả năng thực thi nhanh.
Năm 2024, một nhóm nhà đầu tư Compound Finance cũng từng đệ trình đề xuất không được mời nhằm chuyển hướng 5% kho bạc COMP sang một multisig do họ kiểm soát, dẫn tới phản ứng mạnh từ cộng đồng. Các trường hợp này nhấn mạnh tầm quan trọng của kiểm soát đặc quyền admin, tiêu chuẩn xác minh đề xuất và quy trình phản ứng khẩn cấp.
Những câu hỏi thường gặp
Proposal #74 trên Moonwell nhằm mục tiêu gì?
Proposal #74 (MIP-R39) kêu gọi chuyển quyền admin của 7 thị trường cho vay, cùng Comptroller và Oracle, sang một hợp đồng do bên đề xuất triển khai. Theo đánh giá của Blockful, hợp đồng này chứa sẵn logic để rút tài sản khi đề xuất được thực thi.
Tại sao mua MFAM sau khi phát hiện tấn công có thể không giúp đảo phiếu?
Vì quyền biểu quyết được snapshot tại block bắt đầu đề xuất. MFAM mua sau thời điểm snapshot sẽ không được tính cho cuộc bỏ phiếu này, nên việc “mua thêm để chống” có thể không có tác dụng nếu ví đó không có quyền biểu quyết tại snapshot.
Break Glass Guardian là gì và dùng để làm gì?
Break Glass Guardian là một multisig Gnosis Safe theo mô hình ký 2/3, có thể bỏ qua timelock để chuyển quyền admin trở lại địa chỉ quản trị hợp lệ. Nếu thực hiện kịp thời, nó có thể khiến đề xuất độc hại trở nên vô hiệu ngay cả khi bỏ phiếu thông qua.
Khi nào rủi ro rút tài sản có thể xảy ra sớm nhất?
Nếu đề xuất được thông qua và không bị can thiệp, kẻ tấn công có thể xếp hàng thực thi sớm nhất từ 27/3, với timelock 24 giờ. Theo đó, mốc sớm nhất để có thể rút tài sản được nêu là 28/3, tùy thời điểm xếp hàng thực thi.
