Moonwell auf Base Ziel einer Preismanipulation: Schaden bei 8,7 Mio. US-Dollar

Nach Angaben von CoinMarketCap ist das Lending-Protokoll Moonwell auf der Base-Chain Opfer einer Manipulation des Sicherheitenpreises geworden. Der Angreifer trieb den Kurs des gering liquiden Tokens MAMO künstlich nach oben, hinterlegte die überbewerteten Bestände als Sicherheit und lieh sich damit höherwertige Assets. Der Gesamtschaden wird von CertiK und PeckShield auf rund 8,7 Mio. US-Dollar geschätzt. Moonwell reagierte mit einer sofortigen Verschärfung der Parameter im Base-Markt, was neue Kreditaufnahmen faktisch zum Erliegen brachte. Für alle Core Markets auf Base wurde das Borrowing-Limit auf 1 wei gesetzt. Zusätzlich senkte das Protokoll die Supply-Limits für MAMO und WELL ebenfalls auf 1 wei; die Supply-Limits anderer Assets blieben unverändert. Blockaid hatte zuvor einen Abfluss von 50,6 cbBTC aus dem mCBTC-Markt des Protokolls beobachtet, zum damaligen Zeitpunkt im Wert von über 4 Mio. US-Dollar. Nach Einschätzung der Beobachter liegt der Kern des Vorfalls nicht in einem Fehler im Smart-Contract-Code, sondern in der Preisermittlung: Durch die geringe Marktliquidität von MAMO konnte der Angreifer den Preis zunächst durch Käufe stark anheben und anschließend mit dem überbewerteten Collateral liquide Vermögenswerte wie cbBTC und USDC ausleihen. PeckShield zufolge wurden die entwendeten Mittel später in DAI konsolidiert. Eine Analyse beziffert die Vorgehensweise so: Der Angreifer gab etwa 7 Mio. US-Dollar aus, um MAMO zu kaufen, und verkaufte anschließend einen Teil der Position, wodurch rund 3,2 Mio. US-Dollar zurückflossen. Obwohl die Trades auf Token-Ebene Verluste erzeugten, überstieg der Wert der über das aufgeblähte Collateral geliehenen Assets diese Verluste, sodass unter dem Strich ein Gewinn entstanden sein soll. Der Vorfall rückt erneut die Abhängigkeit von DeFi-Lending-Protokollen von Preisfeeds und der Liquidität der Sicherheiten in den Fokus. Fehlt einem Collateral-Asset ausreichend Markttiefe, kann eine konzentrierte Kauforder den Referenzpreis schnell verzerren; ohne geeignete Schutzmechanismen können Kreditlimits dadurch überhöht ausfallen. Ähnliche Fälle gab es bereits: Der Bericht verweist auf einen Angriff auf KiloEX im Jahr 2025 aufgrund von Schwächen im Price Oracle mit einem Schaden von etwa 7,5 Mio. US-Dollar. Auch Term Finance war zuletzt von einem DeFi-Vorfall im Umfang von rund 8,5 Mio. US-Dollar betroffen, was zeigt, dass Risiken nicht nur aus Code-Schwachstellen entstehen. Moonwell teilte mit, dass der Vorfall im MAMO-Markt weiter untersucht werde. Sicherheitsforscher, darunter Blockaid und PeckShield, verfolgen die relevanten Transaktionen; ob und in welchem Umfang Mittel zurückgeführt werden können, ist derzeit offen.