Moonwell, децентрализованный протокол кредитования (DeFi), активный в экосистемах Base и Optimism, стал целью тщательно спланированной эксплуатации, в результате которой злоумышленники получили примерно 1,78 миллиона долларов. Основной причиной стала проблема с ценовым оракулом для Coinbase Wrapped Staked ETH (cbETH), который возвращал аномально низкую стоимость — около 1,12 доллара вместо правильной цены около 2200 долларов, что создало искажение цены, которое опытные участники могли использовать для получения прибыли. Этот инцидент подчеркивает уязвимость инфраструктуры межцепочечного DeFi при сбоях ценовых потоков и автоматизированных систем, привязанных к ошибочным данным. Он также освещает роль разработки с помощью ИИ в обеспечении безопасности смарт-контрактов, тема, которая становится все более спорной по мере того, как команды полагаются на инструменты на базе ИИ для ускорения программирования и аудитов.
История связывает техническое искажение цены с вопросами управления и инженерии, выходящими за рамки одного взлома. После инцидента активность разработки Moonwell привлекла внимание, когда исследователь безопасности Леонид Пашов отметил в соцсетях опасения по поводу участия ИИ в исходном коде. Pull-запросы, связанные с затронутыми контрактами, показывают несколько коммитов, выполненных совместно с Claude Opus 4.6 — отсылкой к инструментам ИИ компании Anthropic, что побудило Пашова публично охарактеризовать случай как пример неудачного использования ИИ для написания или помощи в написании Solidity-кода. Обсуждение выходит за рамки вопроса ИИ и сосредоточено на том, было ли автоматизированное создание кода сопровождено адекватными мерами безопасности.
В разговоре с Cointelegraph Пашов рассказал, как разворачивалась ситуация: команда связала случай с Claude, потому что несколько коммитов в pull-запросах были приписаны к рабочему процессу с помощью ИИ Claude, что указывало на использование ИИ для написания части кода. Более широкая проблема, по его мнению, не в самом ИИ, а в том, что процесс не предусматривал строгих проверок и полной валидации. Эта разница важна, поскольку она превращает инцидент в предостережение о необходимости хорошего управления, дисциплины в аудите и строгого тестирования — факторов, которые должны руководить любым проектом DeFi, экспериментирующим с рабочими процессами разработки с использованием ИИ.
Уязвимый код привел к эксплуатации Moonwell. Источник: Пашов
Первоначальные комментарии команды Moonwell указывали на то, что на начальном этапе не проводилось достаточного тестирования или аудита. Позже команда заявила, что модульные и интеграционные тесты были выполнены в отдельном pull-запросе, а аудит был заказан у Halborn. Пашов считает, что искажение цены могло быть обнаружено при достаточно строгом интеграционном тестировании, объединяющем логику на цепочке и вне цепочки, хотя он отказался назвать конкретную аудиторскую фирму. В дискуссии поднимается вопрос о том, следует ли считать код, сгенерированный или поддерживаемый ИИ, ненадежным вводом, требующим строгого управления, контроля версий и многостороннего обзора, особенно в критичных областях, таких как управление доступом, взаимодействие с оракулами, логика ценообразования и механизмы обновления.
Помимо технических деталей, инцидент Moonwell усилил более широкий разговор о роли ИИ в цикле разработки крипто-проектов. Фрейзер Эдвардс, соучредитель и CEO cheqd — провайдера инфраструктуры децентрализованной идентичности, — заявил, что дискуссия о «vibe coding» скрывает две разные реальности использования ИИ. С одной стороны, непрофессиональные основатели могут полагаться на ИИ для составления кода, который они не могут проверить; с другой — опытные разработчики используют ИИ для ускорения рефакторинга, поиска шаблонов и тестирования идей в рамках зрелой инженерной дисциплины. Эдвардс подчеркнул, что разработка с помощью ИИ может быть полезной на этапе MVP, но никогда не должна заменять инфраструктуру, готовую к производству, в капиталоемких сферах, таких как DeFi.
Эдвардс призвал считать любой код смарт-контрактов, сгенерированный ИИ, ненадежным вводом, требующим надежного контроля версий, четкого определения владельцев, многостороннего обзора и расширенного тестирования — особенно в модулях, отвечающих за управление доступом, оракулами, ценообразованием и механизмами обновления. Он добавил, что ответственная интеграция ИИ в разработку в конечном итоге зависит от управления и дисциплины, с четкими этапами проверки и разделением между генерацией кода и его валидацией. Цель — обеспечить, чтобы развертывания в условиях противоборствующей среды не несли скрытых рисков, которые необходимо проактивно минимизировать.
Маленький ущерб, большие вопросы управления
Инцидент Moonwell вписывается в более широкий контекст, где риск-аппетит DeFi сталкивается с развивающимися практиками разработки. Хотя сумма ущерба в этом случае значительно меньше, чем у некоторых самых известных взломов DeFi — например, хак моста Ronin в марте 2022 года, принесший более 600 миллионов долларов — этот случай показывает, как решения по управлению, тестированию и выбору инструментов могут влиять на исходы в реальном времени. Совмещение автоматизированных правок с ошибками в ценовых оракулах и уже проверенным исходным кодом поднимает важный вопрос: как проекты должны балансировать скорость, инновации и безопасность, когда ИИ становится частью рабочего процесса разработки? Уроки актуальны для любых протоколов, использующих внешние ценовые потоки и сложные механизмы обновлений, особенно когда эти обновления затрагивают залоговые механизмы и ликвидность.
Пока индустрия взвешивает эти факторы, случай Moonwell служит практическим стресс-тестом для моделей безопасности, пытающихся масштабировать разработку с помощью ИИ без ущерба для ключевых мер защиты. Он показывает, что даже при наличии аудитов и тестов необходима полноценная валидация, охватывающая взаимодействия на цепочке и вне цепочки. Конфликт между быстрыми итерациями и тщательной проверкой вряд ли исчезнет, особенно по мере того, как все больше протоколов экспериментируют с инструментами на базе ИИ, чтобы сохранять темп инноваций и одновременно обеспечивать безопасность.
«Vibe coding» против дисциплинированного использования ИИ
Дискуссия о кодировании с помощью ИИ в крипто-среде сместилась с бинарной критики ИИ и человека к более нюансированному обсуждению процессов. Размышления Эдвардса подчеркивают, что ИИ может быть продуктивным помощником при условии, что он встроен в дисциплинированную структуру, ориентированную на контрольные точки, ответственность и строгие тесты. Случай Moonwell подтверждает, что код, сгенерированный ИИ, требует такого же, а зачастую и более строгого, уровня проверки, чем рукописный код, учитывая повышенные риски в DeFi.
Практически это означает необходимость переосмысления правил управления рабочими процессами с ИИ: кто владеет результатами, как осуществляется обзор изменений и как автоматические тесты соотносятся с реальными сценариями на блокчейне. Главное — не демонизировать технологию, а обеспечить, чтобы механизмы управления, процессы аудита и валидации на цепочке были достаточно надежными, чтобы обнаруживать ошибки конфигурации и неправильные оценки цен до того, как капитал окажется под угрозой.
Что ждать дальше
Moonwell обозначил шаги по исправлению и изменениям в управлении после взлома, включая обновления в интеграции оракулов и механизмах обновления.
Аудиторы и команда Moonwell опубликовали подробный пост-мортем и обновленную систему тестирования, которая явно связывает сценарии на цепочке с модульными и интеграционными тестами.
Дополнительные независимые аудиты сосредоточены на рабочих процессах разработки с помощью ИИ и их влиянии на критические компоненты смарт-контрактов.
На цепочке внедрены улучшения мониторинга и оповещений для обнаружения ценовых аномалий в реальном времени и активации защитных мер, таких как автоматические отключения или приостановки.
Источники и проверка
Pull-запрос контрактов Moonwell v2, выявивший проблему с искажением цены: https://github.com/moonwell-fi/moonwell-contracts-v2/pull/578
Публичное обсуждение исследователя безопасности Пашова, ссылающегося на коммиты с помощью ИИ в Moonwell: https://x.com/pashov/status/2023872510077616223
Контекст по взломам DeFi и вопросам управления (Ronin, Nomad и др.) в связанных публикациях: https://cointelegraph.com/news/battle-hardened-ronin-bridge-to-axie-reopens-following-600m-hack и https://cointelegraph.com/news/suspect-behind-190-million-nomad-bridge-hack-extradited-us
Связанные обсуждения и исследования использования ИИ в управлении крипто-проектами и практики разработки с помощью ИИ
ИИ в кодировании, искажение цен и управление в Moonwell: что это значит для DeFi
Опыт Moonwell иллюстрирует практическое противоречие на стыке инструментов с поддержкой ИИ и безопасности DeFi. Искажение цены в оракуле cbETH показывает, что даже небольшие числовые ошибки могут привести к существенным потерям, если стратегия и финансирование используют эти данные через протокол кредитования. Общий урок таков: разработка с помощью ИИ может ускорить итерации, но не отменяет необходимости в строгой полной проверке, моделирующей реальные взаимодействия с блокчейном.
В ближайшей перспективе инцидент должен подтолкнуть команды протоколов к пересмотру структур управления генерацией кода, ответственности за обзоры и баланса между автоматизированными инструментами и человеческим контролем. Также важно внедрять надежные интеграционные тесты, связывающие состояние на цепочке с внешними данными, чтобы исключить возможность эксплуатации ошибок цен и искажений. По мере того, как другие проекты будут экспериментировать с рабочими процессами на базе ИИ, кейс Moonwell станет ориентиром по балансировке скорости, безопасности и ответственности при использовании ИИ в разработке.
Эта статья изначально публиковалась под заголовком: Moonwell подвергся взлому на 1,78 миллиона долларов, и дискуссия о кодировании с помощью ИИ достигает DeFi на Crypto Breaking News — вашем надежном источнике новостей о криптовалютах, биткоине и блокчейне.
