문리버(Moonriver) 에서 운영되는 탈중앙화 대출 프로토콜인 Moonwell은 정체불명의 공격자가 조작된 거버넌스 투표를 통해 스마트 계약의 관리 권한을 탈취하려는 시도에 맞서 적극적으로 대응하고 있습니다.
이 제안이 실행된다면, 약 108만 달러 상당의 사용자 자산을 보유한 7개의 대출 시장에 대한 통제권이 해당 자산을 빼돌리도록 설계된 것으로 알려진 지갑에 넘어가게 될 것입니다.
1,808달러짜리 내기가 어떻게 100만 달러 규모의 프로토콜을 위협하게 되었을까요?
3월 24일, 공격자는 배포자 지갑에 자금을 충전한 후 이를 이용해 문리버(Moonriver) 의 탈중앙거래소(DEX) 인 솔라빔(SolarBeam)에서 문웰(Moonwell)의 자체 거버넌스 토큰인 MFAM 토큰 4017만 개를 1,600 MOVR(미화 1,808달러 상당)에 구매했습니다.
공격자는 목적에 맞게 제작된 공격 로직이 포함된 계약을 배포하고 "MIP-R39: 프로토콜 복구 - 관리자 마이그레이션"이라는 제목의 제안서 #74를 제출했습니다.
이 제안은 7개 대출 시장 전체와 감독청, 오라클에 대한 관리 통제권을 공격자가 계약한 업체로 이전하는 것을 요구합니다.
탈중앙화 조직(DAO) (DAO)을 위한 거버넌스 보안 플랫폼인 블록풀은 해당 제안이 명백한 공격이라고 지적하며, 공격자의 계약에는 실행 시 모든 시장의 자금을 고갈시키는 데 필요한 거래가 이미 포함되어 있다고 덧붙였습니다.
스냅샷 블록 에서 공격자가 확보한 4017만 MFAM은 프로토콜의 쿼럼 스레스홀드(Threshold) 4000만 MFAM을 초과했습니다. 만약 공격이 성공했다면, 공격 비용의 약 597배에 달하는 수익을 얻을 수 있었을 것입니다.
문웰의 문리버(Moonriver) 마켓플레이스 전반에 걸쳐 노출된 자금은 총 약 108만 달러에 달합니다. 이번 공격은 문웰이 코인베이스 래핑 이더리움(cbETH) 마켓의 오라클 설정 오류로 인해 약 180만 달러의 부실 채권 손실을 입은 지 약 한 달 만에 발생했습니다 .
문웰은 투표를 막을 수 있을까요? 그리고 그 후에는 무슨 일이 벌어질까요?
3월 26일 기준 커뮤니티 투표 데이터에 따르면 투표 참여자의 66.7%가 해당 제안에 반대했습니다. 투표는 3월 27일 10시 28분(UTC)에 마감되므로 조치를 취할 수 있는 시간이 얼마 남지 않았습니다.
문웰의 거버넌스 책임자는 해당 제안을 한 사람이 누구인지 밝혀달라고 요청했습니다. 제안의 의도와 변경 사항에 대한 기술적 설명을 자세히 공유해 달라는 것입니다. 또한, 제안자가 포럼에서 커뮤니티와 소통해 줄 것을 요청했습니다.
필요한 맥락 정보가 제공될 때까지, 문웰은 커뮤니티 구성원들에게 이 제안을 검토하거나 투표할 때 신중을 기하고, 투명성이 부족한 제안에 대한 지지를 자제하며, 조치를 취하기 전에 추가적인 설명이 있을 때까지 기다릴 것을 권고합니다.
현재까지 반대표 수를 보면 문웰이 우위를 점하고 있는 것으로 보입니다.
Blockful은 해당 제안이 통과되는 것을 막기 위한 두 가지 실행 가능한 방어 전략을 제시했습니다. 첫 번째는 마감 시한 전에 충분한 "반대" 표를 확보하는 것입니다. 그러나 이 전략 역시 복잡한데, 투표권이 제안의 시작 블록 에 고정되기 때문입니다. 즉, 공격 이후에 구매한 MFAM은 해당 투표에 아무런 영향을 미치지 않습니다.
Blockful은 이전의 합법적인 제안을 제출한 사람이 스테이킹된 MFAM으로 최소 4,880만 개의 의결권을 보유하고 있어 단 한 번의 거래로 해당 제안을 완전히 부결시킬 수 있다고 지적했습니다.
두 번째 옵션이자 Blockful에 따르면 더 안전한 옵션은 Break Glass Guardian입니다. 이는 2-of-3 노시스(Gnosis) Safe 멀티시그 방식으로, 프로토콜의 타임락을 완전히 우회하고 관리자 권한을 정당한 거버넌스 주소로 되돌려 공격자의 제안이 통과되더라도 아무런 효과가 없도록 만들 수 있습니다.
만약 아무런 제지 없이 해당 제안이 통과된다면, 공격자는 3월 27일부터 실행을 대기열에 추가할 수 있으며, 24시간의 시간 제한이 3월 28일에 만료되므로 모든 자금이 가장 빨리 고갈될 수 있습니다.
과거에 여러 차례 거버넌스 공격이 발생하여 일부 DeFi 플랫폼이 막대한 손실을 입었습니다. 특히 2022년 4월에는 스테이블코인 프로토콜인 빈스토크(Beanstalk)가 플래시론 기반 거버넌스 공격으로 1억 8,100만 달러의 손실을 입었는데, 이 공격은 일시적인 투표권과 즉각적인 실행이라는 근본적인 취약점을 악용한 것이었습니다.
2024년, Compound Finance 투자자 그룹 중 일부가 컴파운드(COMP) 트레져리 의 5%를 자신들이 관리하는 멀티시그(multisig) 플랫폼으로 이전하자는 제안을 제출하여 커뮤니티의 거센 반발을 불러일으켰습니다.
