Atak na Moonwell: 8,7 mln USD strat po manipulacji ceną zabezpieczenia MAMO

Moonwell padł ofiarą ataku na rynkach pożyczkowych w sieci Base, w wyniku którego z protokołu mogło ubyć ok. 8,7 mln USD — wynika ze wstępnych szacunków PeckShield. Według analityków napastnik wykorzystał manipulację wyceną tokena MAMO używanego jako zabezpieczenie. Po incydencie Moonwell obniżył limity zaciągania długu (borrowing caps) we wszystkich Base Core Markets do 1 wei, co w praktyce wstrzymało możliwość zaciągania nowych pożyczek. Do 1 wei zredukowano także limity podaży (supply caps) dla MAMO oraz tokena zarządzania WELL. Pozostałe limity podaży mają pozostać bez zmian; zespół zapowiedział kolejne komunikaty. Mechanizm ataku miał opierać się na tym, że MAMO jest notowane na relatywnie płytkich rynkach, gdzie skumulowane zakupy mogą gwałtownie podbić cenę. Badacze wskazują, że napastnik zawyżył kurs tokena, a następnie użył go jako zabezpieczenia, aby pożyczyć m.in. cbBTC, USDC, wstETH i ETH. Środki miały zostać następnie skonsolidowane na Ethereum. Blockaid w początkowej analizie odnotował wypływ 50,6 cbBTC z protokołu, o wartości przekraczającej 4 mln USD, zaznaczając, że to nie obejmuje wszystkich dotkniętych rynków pożyczkowych. PeckShield poinformował, że skradzione środki — w $DAI — znajdują się na adresie Ethereum zaczynającym się od 0xD71d. Wstępne informacje wskazują na manipulację cenową, a nie na potwierdzone naruszenie kluczowych smart kontraktów. W takim scenariuszu kluczową rolę odgrywają wyrocznie (oracles), które dostarczają zewnętrzne dane cenowe do wyceny zabezpieczeń. Według badaczy wyrocznia Moonwell zaakceptowała zawyżoną cenę MAMO, co sztucznie zwiększyło zdolność pożyczkową konta, mimo że realna płynność rynku nie była w stanie podeprzeć takiej wyceny. Zespół Moonwell podkreśla, że 8,7 mln USD to wstępny szacunek strat, a nie ostateczne rozliczenie nieodzyskiwalnego długu. Ewentualne odzyski oraz wartość pozostałego zabezpieczenia będą miały wpływ na finalną lukę w protokole. Incydent wpisuje się w serię wcześniejszych problemów z wyceną w Moonwell. W listopadzie 2025 r. awaria wyroczni wrsETH miała wygenerować ok. 3,7 mln USD złego długu, a w lutym 2026 r. błędna konfiguracja wyceny cbETH dodała kolejne 1,78 mln USD. Osobno, 23 sierpnia Term Finance miał stracić szacunkowo 8,5 mln USD w ataku governance. Term Labs zamknął następnie Meta Vaults na nowe depozyty i odebrał im role w zarządzaniu DAO. Według danych z chwili publikacji Mamo spada o 11,01% w ujęciu 24-godzinnym do 0,00929 USD. Zastrzeżenie: materiał ma charakter wyłącznie informacyjny i nie stanowi porady inwestycyjnej. Wydawca nie ponosi odpowiedzialności za ewentualne straty. Przed podjęciem decyzji finansowych należy przeprowadzić własną analizę.