Exploit di Moonwell collegato a una perdita di 8,7 milioni di dollari e al rialzo del prezzo di MAMO

• PeckShield stima perdite per 8,7 milioni di dollari dopo che un attaccante ha manipolato il prezzo della garanzia MAMO.
• Moonwell ha ridotto i limiti di prestito nei Base Core Markets a 1 wei, di fatto bloccando nuovi prestiti.
• Precedenti errori nei prezzi di wrsETH e cbETH hanno causato rispettivamente 3,7 milioni e 1,78 milioni di dollari in debito insoluto.

Secondo PeckShield, l'exploit su Moonwell ha prelevato circa 8,7 milioni di dollari dai mercati di prestito su Base il 27 agosto. I ricercatori di sicurezza hanno collegato l'attacco al gonfiamento del prezzo della garanzia MAMO.

Moonwell ha risposto limitando i nuovi prestiti nei suoi Base Core Markets. Secondo quanto riferito, l'attaccante ha preso in prestito cbBTC, USDC, wstETH ed ETH contro il token sopravvalutato, consolidando poi i proventi su Ethereum.

Exploit di Moonwell utilizza garanzia MAMO gonfiata su Base

La valutazione iniziale di Blockaid sull'exploit Moonwell ha identificato lo spostamento di 50,6 cbBTC dal protocollo, per un valore superiore a 4 milioni di dollari. Questa stima iniziale non includeva tutti i mercati di prestito coinvolti.

MAMO viene scambiato in mercati relativamente poco liquidi, dove acquisti concentrati possono far oscillare fortemente i prezzi. I ricercatori hanno affermato che l’attaccante ha gonfiato il valore quotato prima di usare i token come garanzia.

Gli oracoli forniscono i dati di prezzo esterni che i protocolli di prestito utilizzano per valutare la garanzia. L'oracolo di Moonwell ha accettato il prezzo più alto, aumentando la somma che l’account poteva prendere in prestito. La valutazione apparente della garanzia superava la liquidità disponibile a supportarla.

Le prime segnalazioni descrivono una manipolazione dei prezzi, piuttosto che una violazione identificata dei core smart contract. PeckShield ha rintracciato i proventi su DAI a un indirizzo Ethereum che inizia con 0xD71d.

Restrizioni ai prestiti in seguito a precedenti errori degli oracoli

Anche i limiti di offerta per MAMO e il token di governance WELL sono stati abbassati a 1 wei. Moonwell ha dichiarato che gli altri limiti di offerta sono rimasti invariati e ha promesso ulteriori aggiornamenti.

Gli 8,7 milioni di dollari riportati rappresentano una stima preliminare delle perdite, non un conteggio finale del debito irrecuperabile. Eventuali recuperi e il valore residuo delle garanzie influiranno sul deficit definitivo del protocollo.