Moonwell, децентрализованный протокол кредитования (DeFi), активный в экосистемах Base и Optimism, стал целью тщательно спланированной эксплуатации, в результате которой злоумышленники получили примерно 1,78 миллиона долларов. Основной причиной стала проблема с ценовым оракулом для Coinbase Wrapped Staked ETH (cbETH), который возвращал аномально низкую стоимость — около 1,12 доллара вместо правильной цены около 2200 долларов, что создало искажение цены, которое опытные участники могли использовать для получения прибыли. Этот инцидент подчеркивает уязвимость инфраструктуры межцепочечного DeFi при сбоях ценовых потоков и автоматизированных систем, привязанных к ошибочным данным. Он также освещает роль разработки с помощью ИИ в обеспечении безопасности смарт-контрактов, тема, которая становится все более спорной по мере того, как команды полагаются на инструменты на базе ИИ для ускорения программирования и аудитов.
История связывает техническое искажение цены с вопросами управления и инженерии, выходящими за рамки одного взлома. После инцидента активность разработки Moonwell привлекла внимание, когда исследователь безопасности Леонид Пашов отметил в соцсетях опасения по поводу участия ИИ в исходном коде. Pull-запросы, связанные с затронутыми контрактами, показывают несколько коммитов, выполненных совместно с Claude Opus 4.6 — отсылкой к инструментам ИИ компании Anthropic, что побудило Пашова публично охарактеризовать случай как пример неудачного использования ИИ для написания или помощи в написании Solidity-кода. Обсуждение выходит за рамки ИИ и сосредоточено на вопросе, связана ли автоматическая генерация кода с адекватными мерами предосторожности.
В интервью Cointelegraph Пашов рассказал, как разворачивалось обнаружение проблемы: команда связала случай с Claude, потому что несколько коммитов в pull-запросах были приписаны к ИИ-рабочему процессу Claude, что указывало на использование ИИ для написания части кода. Более широкий вывод, по его мнению, не в том, что ИИ по сути flawed, а в том, что процесс не предусматривал строгих проверок и полной валидации. Эта разница важна, поскольку она превращает инцидент в предостережение о необходимости хорошего управления, дисциплины аудита и тестирования — факторов, которые должны руководить любым проектом DeFi, экспериментирующим с рабочими процессами разработки с использованием ИИ.
Уязвимый код привел к эксплуатации Moonwell. Источник: Пашов
Первоначальные комментарии команды Moonwell указывали на то, что на начальном этапе не проводилось достаточного тестирования или аудита. Позже команда заявила, что модульные и интеграционные тесты были выполнены в отдельном pull-запросе, а аудит был заказан у Halborn. По оценке Пашова, искажение цены могло быть обнаружено при достаточно строгом интеграционном тестировании, объединяющем логику на цепочке и вне цепочки, хотя он отказался назвать конкретную аудиторскую фирму. В дискуссии поднимается вопрос, должны ли коды, сгенерированные или поддерживаемые ИИ, рассматриваться как ненадежный вход, подлежащий строгому управлению, контролю версий и многопользовательскому обзору, особенно в критичных областях, таких как управление доступом, взаимодействие с оракулами, логика ценообразования и пути обновления.
Помимо технических деталей, инцидент Moonwell обострил более широкий разговор о роли ИИ в цикле разработки крипто-проектов. Фрейзер Эдвардс, соучредитель и CEO cheqd — провайдера инфраструктуры децентрализованной идентичности — заявил, что дискуссия о «vibe coding» скрывает две разные реальности использования ИИ. С одной стороны, непрофессиональные основатели могут полагаться на ИИ для составления кода, который они не могут проверить; с другой — опытные разработчики используют ИИ для ускорения рефакторинга, поиска шаблонов и тестирования идей в рамках зрелой инженерной дисциплины. Эдвардс подчеркнул, что разработка с помощью ИИ может быть полезной на этапе MVP, но никогда не должна заменять инфраструктуру, готовую к производству, в капиталоемких сферах, таких как DeFi.
Эдвардс призвал, чтобы любой код смарт-контрактов, сгенерированный ИИ, рассматривался как ненадежный вход, требующий надежного контроля версий, четкого определения владельца, многопользовательского обзора и расширенного тестирования — особенно в модулях, отвечающих за управление доступом, оракулы, логику ценообразования и механизмы обновления. Он добавил, что ответственная интеграция ИИ в конечном итоге зависит от управления и дисциплины, с четкими этапами проверки и разделением между генерацией кода и его валидацией. Цель — обеспечить, чтобы развертывания в условиях противоборствующей среды не несли скрытых рисков, которые необходимо проактивно минимизировать.
Маленький ущерб, большие вопросы управления
Инцидент Moonwell вписывается в более широкий контекст, где риск-аппетит DeFi сталкивается с развивающимися практиками разработки. Хотя сумма ущерба в этом случае значительно меньше, чем у некоторых самых известных взломов DeFi — например, хак моста Ronin в марте 2022 года, принесший более 600 миллионов долларов — этот случай показывает, как решения по управлению, тестированию и выбору инструментов могут влиять на исход в реальном времени. Совмещение автоматизированных правок с ошибками в ценовых оракулах и уже проверенным кодом поднимает важный вопрос: как проекты должны балансировать скорость, инновации и безопасность, когда ИИ участвует в процессе разработки? Уроки актуальны для любых протоколов, использующих внешние ценовые потоки и сложные пути обновлений, особенно когда эти обновления затрагивают залоговые механизмы и ликвидность.
Пока индустрия взвешивает эти факторы, случай Moonwell служит практическим стресс-тестом для моделей безопасности, пытающихся масштабировать разработку с помощью ИИ без ущерба для ключевых мер предосторожности. Он показывает, что даже при наличии аудитов и тестов необходима полноценная валидация, охватывающая взаимодействия на цепочке и вне цепочки. Конфликт между быстрыми итерациями и тщательной проверкой вряд ли исчезнет, особенно по мере того, как все больше протоколов экспериментируют с инструментами на базе ИИ, чтобы сохранять темп инноваций и одновременно обеспечивать безопасность.
«Vibe coding» против дисциплинированного использования ИИ
Дискуссия о кодировании с помощью ИИ в крипто-среде сместилась с бинарной критики ИИ и человека к более нюансированному обсуждению процессов. Размышления Эдвардса подчеркивают, что ИИ может быть продуктивным помощником при условии, что он встроен в дисциплинированную структуру с акцентом на контроль, ответственность и строгие тесты. Инцидент с Moonwell подтверждает, что код, сгенерированный ИИ, требует такого же, а зачастую и большего, уровня проверки, чем рукописный, учитывая повышенные риски в DeFi.
Практически это означает необходимость переосмысления правил управления рабочими процессами с участием ИИ: кто владеет результатом, как осуществляется обзор изменений и как автоматические тесты соотносятся с реальными сценариями на блокчейне. Главное — не демонизировать технологию, а обеспечить, чтобы механизмы управления, аудит и валидация на цепочке были достаточно надежными, чтобы обнаружить неправильные настройки и искажения цен до того, как капитал окажется под угрозой.
Что смотреть дальше
Moonwell обозначил шаги по исправлению и изменения в управлении после взлома, включая обновления в интеграции оракулов и путях обновления.
Аудиторы и команда Moonwell опубликовали подробный пост-мортем и обновленную систему тестирования, явно связывающую сценарии на цепочке с модульными и интеграционными тестами.
Дополнительные независимые аудиты сосредоточены на рабочих процессах разработки с помощью ИИ и их влиянии на критичные компоненты смарт-контрактов.
На цепочке внедрены улучшения мониторинга и оповещений для обнаружения ценовых аномалий в реальном времени и активации защитных мер, таких как автоматические отключения или приостановки.
Источники и проверка
Pull-запрос контрактов Moonwell v2, выявивший проблему с искажением цены: https://github.com/moonwell-fi/moonwell-contracts-v2/pull/578
Публичное обсуждение исследователя безопасности Пашова, ссылающегося на коммиты с помощью ИИ в Moonwell: https://x.com/pashov/status/2023872510077616223
Контекст по взломам DeFi и вопросам управления (Ronin, Nomad и др.) в связанных публикациях: https://cointelegraph.com/news/battle-hardened-ronin-bridge-to-axie-reopens-following-600m-hack и https://cointelegraph.com/news/suspect-behind-190-million-nomad-bridge-hack-extradited-us
Связанные обсуждения и исследования использования ИИ в управлении крипто-проектами и практики разработки с помощью ИИ
ИИ в кодировании, искажение цен и управление в Moonwell: что это значит для DeFi
Опыт Moonwell иллюстрирует практическое противоречие на стыке инструментов на базе ИИ и безопасности DeFi. Искажение цены в оракуле cbETH показывает, что даже небольшие числовые ошибки могут привести к существенным потерям, если стратегия и финансирование используют эти данные через протокол кредитования. Общий урок таков: разработка с помощью ИИ ускоряет итерации, но не отменяет необходимость в строгой полной проверке, моделирующей реальные взаимодействия в блокчейне.
В ближайшей перспективе инцидент должен подтолкнуть команды протоколов к пересмотру управленческих структур вокруг генерации кода, ответственности за обзоры и баланса между автоматизированными инструментами и человеческим контролем. Также важно внедрять надежные интеграционные тесты, связывающие состояние на цепочке с внешними данными, чтобы исключить возможность эксплуатации ошибок в ценах. По мере того, как другие проекты экспериментируют с рабочими процессами на базе ИИ, кейс Moonwell станет ориентиром по тому, как сочетать скорость и безопасность, а также кто несет ответственность за уязвимости, вызванные ИИ.
Эта статья изначально публиковалась под заголовком: Moonwell подвергся взлому на 1,78 миллиона долларов, и дискуссия о кодировании с помощью ИИ достигает DeFi на Crypto Breaking News — вашем надежном источнике новостей о криптовалютах, Bitcoin и блокчейне.
