DeFi借贷协议Moonwell近日陷入一场紧急治理风波。该协议运行于Moonriver网络，当前正对抗一名未知攻击者发起的治理攻击。根据披露的信息，攻击者试图借助一项经过操纵的治理提案，取得Moonwell智能合约的管理权限。一旦提案执行，涉及约108万美元用户资产的7个借贷市场可能被置于恶意合约控制之下，资金面临被转移风险。
低成本买票，高风险夺权
事件的关键在于治理代币与投票门槛的设计。3月24日，攻击者向一个部署钱包注资，并在Moonriver上的去中心化交易所SolarBeam买入了4017万枚MFAM，这是Moonwell的原生治理代币。完成这笔交易的成本仅为1600枚MOVR，约合1808美元。
随后，攻击者部署了一份带有特定攻击逻辑的合约，并提交了编号为Proposal #74的提案，标题为“MIP-R39: Protocol Recovery – Admin Migration”。表面上看，这似乎是一项“协议恢复”与“管理员迁移”提案，但安全平台Blockful指出，该提案本质上明显属于攻击行为。
按照提案内容，Moonwell旗下7个借贷市场、Comptroller以及Oracle的管理权限将被转移到攻击者控制的合约地址。而据Blockful分析，这一恶意合约中已预置执行逻辑，一旦提案通过并落地，相关市场中的资产可能被迅速抽走。
更值得关注的是，在治理快照区块时，攻击者持有的4017万枚MFAM已经超过协议所需的4000万法定人数门槛。这意味着，攻击者用极低成本便获得了推动危险提案进入执行流程的能力。按报道测算，若攻击成功，其潜在回报将达到攻击成本的约597倍。
Moonwell为何如此脆弱
这起事件再次暴露出部分DeFi协议在治理机制上的结构性风险，尤其是当治理代币流动性较低、投票权容易在短时间内集中时，恶意参与者便可能以远低于协议托管资产价值的成本发动“低成本高收益”的治理夺权。
对于Moonwell而言，这次危机尤其敏感。就在大约一个月前，协议刚因cbETH市场的预言机配置错误，产生了约180万美元坏账损失。如今再度遭遇治理层面的安全威胁，市场对其风控、治理设计以及应急响应能力的关注显著升温。
从DeFi行业历史看，治理攻击并非新鲜事。报道提及，2022年4月，Beanstalk稳定币协议就曾因基于闪电贷的治理攻击损失1.81亿美元。类似事件说明，若投票权能够被短期集中、且提案执行缺乏足够制衡，协议治理就可能从“社区决策工具”转变为“攻击入口”。
社区反击仍在进行
截至3月26日的社区投票数据显示，当前已有66.7%的已投票份额明确反对该提案。投票将于3月27日10:28 UTC截止，这意味着Moonwell社区仍有有限时间阻止该提案通过。
Moonwell治理负责人已经公开要求提案发起人现身，对提案意图和技术变更作出详细解释，并呼吁其在社区论坛展开沟通。在进一步背景信息缺失的情况下，Moonwell也提醒社区成员保持谨慎，不要支持缺乏透明度的提案，并等待更多澄清信息后再作决定。
不过，防守并不轻松。Blockful指出，由于投票权是在提案起始区块进行快照，因此攻击发生后再买入MFAM并不能增加此次投票权重，社区无法单纯依靠二级市场买币来“补票”。
但好消息是，上一项合法提案的发起方据称持有至少4880万投票权的质押MFAM，理论上仅需一次链上操作，就足以直接否决该恶意提案。如果这一力量被调动起来，Moonwell将大概率化解此次危机。
最后防线：紧急多签机制
除了社区投票，Moonwell还拥有另一道更强硬的防御手段，即Break Glass Guardian。这是一个2/3签名门槛的Gnosis Safe多签机制，可以绕过协议原有的timelock时间锁，直接将管理员权限转回合法治理地址。按照Blockful的说法，这一方案更为稳妥，因为即便恶意提案形式上获得通过，也可能因管理员权限被提前收回而失去实际效果，最终沦为“空提案”。
若没有任何干预，该提案最早可在3月27日进入排队执行阶段，并在24小时timelock结束后的3月28日具备执行条件。届时，协议中的相关资金将面临最直接的被盗风险。
市场影响与行业启示
从市场层面看，这起事件短期内可能进一步打击用户对Moonwell的信心，尤其是在其此前已出现坏账事件的背景下。对于借贷协议而言，治理安全与清算机制、预言机安全同样关键，任何一环失守都可能迅速演变为资产外流和流动性萎缩风险。
更广泛地看，Moonwell事件再次提醒DeFi市场，“去中心化治理”并不天然等于“安全治理”。治理门槛、投票快照、执行延迟、多签应急权限以及提案透明度机制，都是协议设计中不可忽视的安全组件。未来，投资者在评估DeFi项目时，除了关注总锁仓量、收益率和生态扩张，也需要更加重视协议的治理攻击防御能力。
截至目前，Moonwell在这场攻防战中似乎正逐步占据上风，但最终结果仍取决于投票截止前的社区动员以及应急权限是否会被启用。对于整个加密行业而言，这不仅是一场针对单一协议的安全事件，也是一堂关于治理脆弱性与风险控制的现实课程。