Moonwell, ein auf Base aufgebautes dezentrales Kreditprotokoll, das Ethereum Layer-2-Netzwerk von Coinbase, wurde am 27. August ausgenutzt. Bei dem Angriff wurden schätzungsweise 8,7 Millionen US-Dollar an Vermögenswerten abgezogen. Sicherheitsforscher führten den Vorfall auf die Manipulation von MAMO zurück, einem dünn gehandelten Token, der in einem der Kreditmärkte von Moonwell als Sicherheit akzeptiert wird.

Der Angriff unterstreicht ein wiederkehrendes Risiko im dezentralen Finanzwesen: Wenn Sicherheitenwerte aus illiquiden Vermögenswerten abgeleitet werden, können Angreifer künstliche Kreditaufnahmekapazität schaffen. Die Manipulation von Preis-Oracles ist eine gut dokumentierte Exploit-Klasse; der Mango-Markets-Vorfall von 2022 folgte einem ähnlichen Vorgehen, bei dem der Wert eines dünn gehandelten Tokens erhöht wurde, um dagegen mehr liquide Vermögenswerte zu leihen.

Wie sich der Angriff entwickelte

Nach Angaben von Sicherheitsforschern manipulierte der Angreifer den Sicherheitenpreis von MAMO und lieh anschließend mithilfe der erhöhten Bewertung weitere liquide Vermögenswerte von Moonwell. Zu den entnommenen Assets sollen cbBTC (Coinbase Wrapped Bitcoin), USDC, wstETH (eine gewrappte Form von gestaktem Ether) und ETH gehört haben.

Frühes Blockchain-Monitoring stellte fest, dass während des Angriffs cbBTC im Wert von mehr als 4 Millionen US-Dollar aus dem Protokoll abfloss. Spätere Nachverfolgungen bezifferten den geschätzten Gesamtschaden auf rund 8,7 Millionen US-Dollar.

Der Vorfall scheint auf eine Schwäche bei einem Oracle oder der Preisbildung zurückzugehen und nicht auf einen herkömmlichen Diebstahl von Smart-Contract-Code. Indem der Marktwert von MAMO nach oben gedrückt wurde, ließ der Angreifer relativ günstige Sicherheiten innerhalb des Kreditssystems deutlich wertvoller erscheinen. Da ein dünner Markt mit vergleichsweise wenig Kapital auf extreme Preise gedrückt werden kann, kann eine solche Bewertungslücke entstehen, bevor Risikoparameter oder Marktteilnehmer reagieren können.

Reaktion von Moonwell

Moonwell begann mit der Untersuchung des betroffenen MAMO Core Market und ergriff Vorsichtsmaßnahmen, um weitere Kreditaufnahmen zu begrenzen. Die Reaktion verdeutlicht, wie wichtig es ist, kompromittierte Sicherheitenmärkte zu isolieren, bevor weitere Gelder ein Kreditprotokoll verlassen können; die Isolierung eines betroffenen Marktes statt das Anhalten des gesamten Protokolls ist für Kreditplattformen ein gängiger Eindämmungsansatz.

Der Vorfall wirft auch Fragen zu Risikokontrollen für Assets mit geringer Liquidität auf. Kreditplattformen berechnen die Kreditaufnahmekapazität in der Regel auf Grundlage von Sicherheitenwerten und Sicherheitenfaktoren. Wenn sich ein Preisfeed aufgrund begrenzter Marktliquidität stark verschieben lässt, können Angreifer die aufgeblähte Bewertung ausnutzen, bevor das System reagieren kann. Vorfälle dieser Art haben Kreditprotokolle in der Vergangenheit dazu veranlasst, ihre gelisteten Sicherheiten zu überprüfen und Obergrenzen, Sicherheitenfaktoren sowie Oracle-Konfigurationen zu verschärfen.

Die Schätzung von 8,7 Millionen US-Dollar könnte sich ändern, während Blockchain-Ermittler weitere Transaktionen nachverfolgen und den endgültig entnommenen Betrag bestimmen. Die gestohlenen Vermögenswerte sollen in DAI, den an den US-Dollar gekoppelten Stablecoin von MakerDAO, zusammengeführt worden sein, während Sicherheitsteams die zugehörigen Adressen weiter überwachen. Zu den offenen Fragen gehört nun, welcher Preisbildungsmechanismus versagt hat, wie Moonwell mit dem betroffenen MAMO-Markt und dessen Einlegern umgehen wird und ob die On-Chain-Nachverfolgung die Gelder mit einer Börse oder einem Dienst verknüpft, der sie einfrieren könnte.

Der Moonwell-Exploit trägt zu einer wachsenden Prüfung von DeFi-Kreditprotokollen und ihrer Abhängigkeit von Marktpreisen bei. Für Nutzer zeigt der Vorfall, wie schnell Schwächen bei der Bewertung von Sicherheiten zu Verlusten ansonsten liquider Vermögenswerte führen können. Da geliehene Assets in Kreditprotokollen aus gemeinsamen Pools stammen, sind Einleger in einem betroffenen Markt in solchen Abflüssen typischerweise am stärksten betroffen; bei früheren vergleichbaren Hacks haben einige Protokolle betroffene Nutzer entschädigt, wie Euler Finance nach seinem Exploit im Jahr 2023, weshalb ein möglicher Erstattungsplan von Moonwell ein wichtiger Punkt bleibt.