Attacco di manipolazione dei prezzi su Moonwell (Base): perdite stimate a 8,7 milioni di dollari

Secondo quanto riportato da CoinMarketCap, il protocollo di lending Moonwell sulla chain Base ha subito un episodio di manipolazione del prezzo del collaterale. Un attaccante avrebbe gonfiato il valore del token a bassa liquidità MAMO e lo avrebbe utilizzato come garanzia per prendere in prestito asset più pregiati, causando perdite stimate in circa 8,7 milioni di dollari. In risposta, Moonwell ha irrigidito con urgenza i parametri di prestito per il mercato Base, di fatto bloccando nuovi finanziamenti. Il limite di borrowing per tutti i Core Markets su Base è stato ridotto a 1 wei, misura che impedisce operativamente l'apertura di nuovi prestiti. Anche i limiti di supply per MAMO e WELL sono stati abbassati a 1 wei; i limiti di supply per gli altri asset restano invariati. Le società di sicurezza CertiK e PeckShield hanno entrambe stimato le perdite intorno a 8,7 milioni di dollari. In precedenza Blockaid aveva osservato un deflusso di 50,6 cbBTC dal mercato mCBTC del protocollo, per un valore superiore a 4 milioni di dollari al momento del monitoraggio. L'evento sarebbe legato al meccanismo di pricing, non al codice dei contratti. Non si tratterebbe quindi di un classico exploit di vulnerabilità smart contract, ma di un abuso dell'infrastruttura di determinazione dei prezzi: sfruttando la scarsa liquidità del mercato MAMO, l'attaccante avrebbe prima spinto verso l'alto le quotazioni del token e poi avrebbe usato il collaterale sopravvalutato per prendere in prestito asset più liquidi come cbBTC e USDC. PeckShield ha successivamente indicato che i fondi sottratti sarebbero stati consolidati in DAI. Un'analisi citata nel report stima che l'attaccante abbia speso circa 7 milioni di dollari per acquistare MAMO, vendendo poi una parte della posizione e recuperando circa 3,2 milioni di dollari. Pur registrando una perdita sulle operazioni di trading, il valore degli asset presi in prestito grazie al collaterale gonfiato sarebbe risultato superiore, generando un profitto complessivo. Il caso riporta l'attenzione sul rischio dei collaterali a bassa liquidità nel lending DeFi e sulla dipendenza dai price feed. Se un asset non ha profondità di mercato sufficiente, un acquisto concentrato può far impennare rapidamente il prezzo quotato; senza adeguate protezioni, i limiti di prestito possono risultare eccessivamente elevati. Il report richiama precedenti simili: nel 2025 KiloEX sarebbe stata colpita a causa di debolezze nel proprio price oracle, con perdite di circa 7,5 milioni di dollari. Più di recente, Term Finance ha registrato un incidente DeFi da circa 8,5 milioni di dollari, a dimostrazione che i rischi dei protocolli non si esauriscono nelle sole vulnerabilità di codice. Moonwell afferma di stare ancora indagando sull'incidente legato al mercato MAMO. Ricercatori di sicurezza, tra cui Blockaid e PeckShield, continuano a monitorare le transazioni correlate; lo stato del recupero dei fondi resta al momento non chiaro.