Moonwell втратив 8.7 мільйонів доларів, жоден рядок коду не був зламаний

Лендінг-протокол Moonwell втратив приблизно 8,7 мільйонів доларів через експлойт у четвер. Жоден смарт-контракт не було зламано. Зловмисник просто змусив MAMO, невеликий токен на Base, виглядати набагато ціннішим, ніж він є насправді. Завищена ціна дозволила атакуючому взяти в борг реальні активи, включаючи Coinbase Wrapped Bitcoin (cbBTC) та USD Coin (USDC). Охоронна компанія Blockaid виявила підозрілу активність, і Moonwell заморозив нове кредитування протягом декількох годин.

Як працював експлойт Moonwell

Фішка була у ціні, а не в коді. Blockaid повідомила, що зловмисник маніпулював оцінкою забезпечення MAMO для виведення cbBTC з ринку mCBTC Moonwell. Перша оцінка показала втрату 50,6 cbBTC, що перевищує 4 мільйони доларів.

MAMO – це токен проекту Mamo, інструменту для отримання прибутку на базі Base. Загальна ринкова капіталізація усіх MAMO становить близько 7,6 мільйона доларів, а токен торгується приблизно по 0,011366 долара. Такий малий ринок легко піддається "розгону".

Динаміка ціни MAMO. Джерело: BeInCrypto

Уся атака була в цьому: розігнати MAMO на тонкому ринку, внести токен як забезпечення за фейковою ціною й позичити активи з реальною вартістю. Оракул Moonwell, система, що підтягує ціни для протоколу, повірив у цей штучний "памп".

Охоронна компанія PeckShield згодом оцінила загальні втрати у 8,7 мільйона доларів. Це більше, ніж ринкова вартість усіх токенів MAMO. Компанія повідомила, що кошти наразі зберігаються у стейблкоїні DAI на гаманці, який починається на 0xD71d.

Ліміти кредитування знижено до одного wei, запитання про відновлення залишаються

Moonwell підтвердив інцидент у публікації, зазначивши, що вже працюють над ліквідацією наслідків.

Ми знаємо про проблему, що впливає на Core Market MAMO на Base, і активно проводимо розслідування. Як запобіжний захід, ліміти кредитування для всіх Core Markets на Base знижені до 1 wei, що запобігає новим позикам і обмежує потенційний вплив проблеми, – йдеться у заяві команди.

Один wei – це найменша можлива одиниця. Зміна блокує усі нові кредити, не впливаючи на можливість зняття коштів. Ліміти постачання для MAMO та WELL, токена управління Moonwell, також знижені до одного wei.

Експлойт у четвер – не перший для протоколу. Погані ціни, а не поганий код, вже неодноразово призводили до втрат Moonwell. У листопаді 2025 року збій оракула wrsETH створив близько 3,7 мільйона доларів поганого боргу. У лютому через неправильну роботу оракула cbETH було додано ще 1,78 мільйона доларів. Помилки в ціноутворенні вже коштували протоколу понад 14 мільйонів доларів за десять місяців.

У ширшому секторі спостерігається та ж проблема. Term Labs втратила близько 8,5 мільйона доларів через експлойт в управлінні у неділю. Аналітики все частіше звинувачують економічні прорахунки, а не зламаний код, у великих втратах DeFi.

Moonwell повідомляє, що скоро буде наступне оновлення. Два показники визначать реальну картину. Перший – це остаточний розмір поганого боргу після стабілізації ціни MAMO. Другий – скільки cbBTC та USDC залишилось для постачальників, які хочуть вийти.

Читати статтю на BeInCrypto