Moonwell на Base зазнав атаки через маніпуляцію ціною: збитки сягнули $8,7 млн

За даними CoinMarketCap, кредитний протокол Moonwell у мережі Base зіткнувся з інцидентом маніпуляції ціною застави. Зловмисник штучно підняв котирування малоліквідного токена MAMO, використав його як забезпечення та позичив активи з вищою ринковою вартістю. Орієнтовні втрати оцінюються у $8,7 млн. Після інциденту Moonwell терміново посилив параметри кредитування для ринку Base, фактично зупинивши нові запозичення. Ліміт запозичень для всіх Core Markets у Base знижено до 1 wei, що практично унеможливлює відкриття нових позик. Протокол також зменшив ліміти постачання (supply) для MAMO та WELL до 1 wei; для інших активів ліміти постачання залишилися без змін. Оціночний розмір збитків у $8,7 млн назвали й компанії з кібербезпеки CertiK та PeckShield. Раніше Blockaid зафіксував відтік 50,6 cbBTC з ринку mCBTC протоколу — на той момент це було понад $4 млн. Як зазначається, проблема пов'язана з ціноутворенням, а не з помилкою в коді контрактів. Механіка атаки полягала в експлуатації інфраструктури ціноутворення: через низьку ліквідність ринку MAMO атакувальник спершу розігнав ціну токена, після чого використав переоцінену заставу для позик більш ліквідних активів, зокрема cbBTC та USDC. Згодом PeckShield повідомив, що викрадені кошти були консолідовані в DAI. За оцінкою аналітиків, зловмисник витратив близько $7 млн на купівлю MAMO, а потім продав частину позиції, повернувши приблизно $3,2 млн. Хоча самі торги принесли збиток, активи, отримані в позику під завищену заставу, виявилися дорожчими, що й забезпечило підсумковий прибуток. Інцидент знову підкреслив залежність DeFi-кредитування від цінових фідів та ліквідності заставних активів. Якщо застава має недостатню глибину ринку, велика концентрація покупок може швидко підняти індикативну ціну, а за відсутності достатніх запобіжників ліміти запозичень можуть бути завищені. Подібні випадки траплялися й раніше. У звіті згадується, що у 2025 році KiloEX також зазнав атаки через слабкі місця в ціновому оракулі, тоді втрати склали приблизно $7,5 млн. Нещодавно Term Finance пережив DeFi-інцидент орієнтовно на $8,5 млн, що демонструє: ризики протоколів не зводяться лише до вразливостей коду. Moonwell повідомляє, що розслідування інциденту на ринку MAMO триває. Дослідники безпеки, зокрема Blockaid і PeckShield, продовжують відстежувати пов'язані транзакції; статус повернення коштів наразі залишається невизначеним.