Moonwellの攻撃者がガバナンス提案を通じて制御を奪うために1,808ドルを費やす

攻撃者は約$1,808を費やして4,000万MFAMガバナンストークンを購入し、悪意のある提案を通過させました。この提案が実行されると、Moonwellの7つのレンディング市場とコアスマートコントラクトに対する完全な管理権が攻撃者に渡り、ユーザ資金100万ドル以上を引き出すことが可能となります。

提案のタイトルは「MIP-R39: プロトコル復旧 - 管理者移行」で、2026年3月24日に提出され、投票は3月28日に終了予定です。約8500万ドルの総ロック価値を持つマルチチェーンレンディングプロトコルのMoonwellは、分散型ガバナンスの安全性を試される重要な局面に直面しています。コミュニティメンバーは乗っ取りを阻止しようと急いでいます。

ブロックチェーン情報分析企業Blockfulは、攻撃者が追加の未公開ウォレットにMFAMトークンを保有している可能性を警告し、最後の瞬間に投票をひっくり返すためにこれらのウォレットを使用する可能性があると指摘しています。彼らはMoonwellのマルチシグ署名者に対し、「ブレークグラスガーディアン」を起動して管理権限を攻撃者から移すことを推奨しています。

攻撃の仕組みと潜在的影響

低コストでのガバナンス悪用

攻撃者は約$0.000025/トークンの価格で4,000万MFAMを購入し、提案を提出するための閾値を満たすために約$1,808を費やしました。攻撃者はスマートコントラクトを利用してトークンを取得し、Blockfulはこのコントラクトに悪意のあるコードが含まれており、提案が実行された場合にプロトコルの流動性を自動的に引き出す仕組みになっていると指摘しています。

管理権限の範囲

成功すれば、この提案は攻撃者にMoonwellの7つの市場全体、プロトコルのコアスマートコントラクトの完全な管理権を与え、100万ドル以上のユーザ資金を引き出すことを可能にします。プロトコルはMoonbeam（Polkadotのパラチェーンネットワーク）とMoonriver（Polkadotの開発者ネットワークKusama上の同等ネットワーク）上で運用されています。

現在の状況と防御策

投票活動

2026年3月26日時点で、投票の約68%は反対票でした。しかし、Blockfulは、攻撃者が追加の未公開MFAMウォレットを持っており、金曜日の締め切り前に投票をひっくり返すためにこれらを使用する可能性があると警告しています。

推奨される安全策

Blockfulは、Moonwellのマルチシグ署名者に対し、「ブレークグラスガーディアン」を起動することを推奨しています。これは、防御メカニズムであり、管理権限を攻撃者から移し、投票結果に関わらずユーザ資金を安全に保つことができます。「攻撃者は隠しウォレットを持ち続けており、反対意見が出た最後のブロックで投票する準備ができているため、コアチームはガーディアンを使用してユーザ資金の安全を確保すべきです」とBlockfulは述べています。

より広い背景：DAOガバナンスの脆弱性

先例となる事例

Moonwellの事件は、分散型金融におけるガバナンスの悪用や紛争の増加に一層の拍車をかけています。

• Compound Finance（2024年）：仮名のユーザーHumpy率いる投資グループが十分なガバナンストークンを獲得し、約$2400万をプロジェクトの財務から私的な金庫に移す提案を強行しようとしましたが、最終的に和解に至りました。

• Aave（2025年12月）：CoW Swapとの連携による手数料がAave Labsに直接送金されていることが判明し、これはDAOの承認を得ていない決定でした。

低価値トークンのリスク

Moonwellの攻撃は、低価値トークンに依存したガバナンスシステムの特定の脆弱性を浮き彫りにしています。大量の安価なトークンを購入することで、少額の投資で定足数を満たし、悪意のある提案を提出できるのです。

よくある質問

攻撃者はどのようにしてMoonwellのガバナンスを掌握したのですか？

攻撃者は約$1,808を費やして4,000万MFAMを購入し、それを使ってMoonwellの市場とコアスマートコントラクトの管理権を移譲する提案を提出しました。さらに、提案が通過した場合にユーザ資金を自動的に引き出す悪意のあるコードも含まれていました。

現在の提案の状況はどうなっていますか？

投票は3月28日に終了します。3月26日時点で、約68%の投票が反対でした。ただし、セキュリティ専門家は、攻撃者が追加の未公開ウォレットを持っており、最後の瞬間に投票をひっくり返す可能性があると警告しています。

攻撃を防ぐにはどうすればいいですか？

セキュリティ企業Blockfulは、Moonwellのマルチシグ署名者に対し、「ブレークグラスガーディアン」機構を起動することを推奨しています。これにより、投票結果に関わらず管理権限が攻撃者から移され、ユーザ資金の安全が確保されます。