Moonwell stracił 8,7 miliona dolarów bez włamania w ani jednej linii kodu

Protokół pożyczkowy Moonwell stracił w czwartek szacunkowo 8,7 miliona dolarów w wyniku exploitu. Żaden smart contract nie został złamany. Atakujący po prostu sprawił, że MAMO, niewielki token Base, wyglądał na znacznie cenniejszy niż w rzeczywistości. Zawyżona cena pozwoliła mu pożyczyć prawdziwe aktywa, w tym Coinbase Wrapped Bitcoin (cbBTC) oraz USD Coin (USDC). Firma zajmująca się bezpieczeństwem Blockaid wykryła podejrzaną aktywność, a Moonwell w ciągu kilku godzin zamroził możliwość zaciągania nowych pożyczek.

Jak działał exploit na Moonwell

Sztuczka polegała na manipulacji ceną, nie kodem. Blockaid poinformował, że atakujący zmanipulował wycenę zabezpieczenia MAMO, by wyprowadzić cbBTC z rynku mCBTC platformy Moonwell. Wstępne szacunki wykazały, że zniknęło 50,6 cbBTC, czyli ponad 4 miliony dolarów.

MAMO to token należący do narzędzia Mamo, służącego do generowania zysków w sieci Base. Wszystkie istniejące MAMO są warte łącznie około 7,6 miliona dolarów, a token handluje w okolicach 0,011366 dolara. Tak mały rynek łatwo jest sztucznie napompować.

MAMO Price Performance. Source: BeInCrypto

Na tym polegał cały atak. Sztucznie podbić cenę MAMO na płytkich rynkach, zdeponować go jako zabezpieczenie po fałszywej cenie i pożyczyć aktywa o realnej wartości. Oracle Moonwella, czyli system przekazujący ceny do protokołu, zaakceptował tę manipulację.

Firma PeckShield szacuje całkowite straty na 8,7 miliona dolarów. To więcej niż łączna wartość rynkowa wszystkich tokenów MAMO. Według firmy środki obecnie znajdują się w stablecoinie DAI na portfelu rozpoczynającym się od 0xD71d.

Limity pożyczek obcięte do jednego wei, ruszają pytania o odzyskiwanie środków

Moonwell potwierdził incydent w opublikowanym wpisie, wskazując, że podjęto już działania w celu ograniczenia strat.

Jesteśmy świadomi problemu dotyczącego MAMO Core Market na Base i aktywnie prowadzimy dochodzenie. Zapobiegawczo limity pożyczek dla wszystkich Core Markets na Base zostały ustawione na 1 wei, co uniemożliwia branie nowych pożyczek i ogranicza potencjalne dalsze szkody – napisał zespół.

Jeden wei to najmniejsza możliwa jednostka. Zmiana blokuje wszystkie nowe pożyczki, ale nie ogranicza wypłat środków. Limity podaży dla MAMO oraz WELL, tokena zarządzającego Moonwell, również zostały obniżone do jednego wei.

Czwartkowy exploit to nie pierwszy taki przypadek. To nie wadliwy kod, lecz błędne ceny wciąż kosztują Moonwell pieniądze. Awaria oracla wrsETH w listopadzie 2025 wygenerowała ok. 3,7 miliona dolarów złego długu. Błędna konfiguracja oracla cbETH dodała w lutym kolejne 1,78 miliona dolarów. Błędy w wycenie kosztowały już protokół ponad 14 milionów dolarów w 10 miesięcy.

Podobną słabość wykazuje szerszy sektor. Term Labs stracił w niedzielę około 8,5 miliona dolarów w wyniku exploitu związanego z zarządzaniem. Analitycy coraz częściej winią za największe straty DeFi błędy w mechanizmach ekonomicznych, a nie w kodzie.

Moonwell zapowiada kolejną aktualizację. O piastce zdecydują dwa wskaźniki. Pierwszy to ostateczna wysokość złego długu po ustabilizowaniu się ceny MAMO. Drugi – ile cbBTC i USDC pozostanie dla dostawców, którzy chcą wycofać środki.

Przeczytaj artykuł na BeInCrypto