Moonwell, na Base, sofre ataque de manipulação de preços e perdas chegam a US$ 8,7 milhões

Segundo a CoinMarketCap, o protocolo de empréstimos Moonwell, na rede Base, foi alvo de um incidente de manipulação de preço de colateral. O atacante elevou artificialmente o preço do token de baixa liquidez MAMO e o utilizou como garantia para tomar empréstimos de ativos de maior valor, gerando perdas estimadas em cerca de US$ 8,7 milhões. Após o ocorrido, a Moonwell apertou de forma emergencial os parâmetros de empréstimo do mercado na Base, na prática interrompendo novas operações de borrowing. O limite de empréstimo para todos os Core Markets na Base foi reduzido para 1 wei, o que efetivamente bloqueia novos empréstimos. O protocolo também diminuiu para 1 wei os limites de supply de MAMO e WELL; os limites de supply para os demais ativos permanecem inalterados. As empresas de segurança CertiK e PeckShield estimaram as perdas em aproximadamente US$ 8,7 milhões. A Blockaid havia identificado anteriormente uma saída de 50,6 cbBTC do mercado mCBTC do protocolo, avaliada em mais de US$ 4 milhões na ocasião. As apurações apontam que o problema esteve na precificação, e não no código dos contratos. Em vez de explorar uma vulnerabilidade típica de smart contract, o ataque teria se aproveitado da infraestrutura de preços. Com a baixa liquidez do mercado de MAMO, o invasor primeiro inflou a cotação do token e, em seguida, usou o colateral superavaliado para tomar empréstimos de ativos mais líquidos, como cbBTC e USDC. Mais tarde, a PeckShield informou que os valores obtidos foram consolidados em DAI. Uma análise indica que o atacante desembolsou cerca de US$ 7 milhões para comprar MAMO e depois vendeu parte da posição, recuperando aproximadamente US$ 3,2 milhões. Mesmo com prejuízo nas negociações do token, os ativos tomados via colateral inflado tinham maior valor, o que teria garantido lucro ao final. O episódio volta a evidenciar a dependência de protocolos DeFi de lending em relação a feeds de preço e à liquidez dos colaterais. Quando um ativo aceito como garantia não tem profundidade suficiente, ordens concentradas podem inflar rapidamente a cotação; sem salvaguardas adequadas, os limites de empréstimo podem se expandir além do razoável. Casos semelhantes já ocorreram. O relatório menciona que, em 2025, a KiloEX sofreu um ataque associado a fragilidades em seu oráculo de preços, com perdas estimadas em cerca de US$ 7,5 milhões. Mais recentemente, a Term Finance enfrentou um incidente DeFi envolvendo aproximadamente US$ 8,5 milhões, reforçando que o risco não se restringe a falhas de código. A Moonwell afirma que segue investigando o incidente no mercado de MAMO. Pesquisadores de segurança, incluindo Blockaid e PeckShield, continuam monitorando as transações relacionadas, e o status de recuperação dos recursos ainda é incerto.