Moonwell fue víctima de un ataque de manipulación de oráculo estimado en 9 millones de dólares en Base, después de que explotadores inflaran el precio del token colateral MAMO, de baja liquidez, y utilizaran la valuación artificial para tomar prestados activos de mayor valor del protocolo de préstamos, según un análisis de seguridad de blockchain compartido por Blockaid.

El ataque elevó el precio de MAMO desde aproximadamente 0,01 dólares hasta casi 0,47 dólares a través de mercados de baja liquidez, antes de que el precio inflado entrara en los cálculos de colateral de Moonwell. Las primeras transacciones extrajeron cbBTC, USDC, wstETH y activos respaldados en ETH de los pools de préstamos compartidos del protocolo.

Al menos 50,6 cbBTC, con un valor superior a 4 millones de dólares, fueron retirados del mercado de cbBTC durante el ataque. Préstamos adicionales en los mercados afectados llevaron las estimaciones iniciales de la extracción total a cerca de 9 millones de dólares, mientras los investigadores seguían rastreando las transacciones en Base.

Para los usuarios de Base y otros prestamistas, el incidente es un recordatorio de que las fuentes de datos de los oráculos pueden importar tanto como el código de los contratos inteligentes: cuando se acepta un mercado de baja liquidez como colateral, un movimiento repentino del precio puede alterar la capacidad de endeudamiento antes de que el protocolo pueda reaccionar. En la práctica, ese riesgo recae sobre los pools de liquidez compartidos, y por eso los activos tomados en préstamo provenían de depósitos realizados por otros usuarios de Moonwell y no de billeteras comprometidas.

El repunte del precio de MAMO infló la capacidad de endeudamiento

Moonwell permite usar MAMO como colateral en Base con un factor de colateral del 50%, un límite de suministro de 20 millones de MAMO y un límite de préstamo de 3 millones de MAMO, según los parámetros de riesgo publicados por el protocolo.

Esa configuración implicaba que un aumento brusco en el precio del oráculo de MAMO elevaba de inmediato el valor en dólares asignado al colateral del atacante. Una vez que MAMO se valuó cerca de 0,47 dólares en lugar de aproximadamente 0,01 dólares, la misma posición en tokens podía respaldar préstamos mucho mayores.

Los activos tomados en préstamo provenían de liquidez provista por otros usuarios de Moonwell. El atacante no necesitó comprometer claves privadas ni romper el consenso de Base; la extracción dependió de manipular el precio utilizado para valuar el colateral y de endeudarse contra esa valuación distorsionada antes de que el mercado pudiera corregirse.

MAMO ya era uno de los mercados de Moonwell en Base con mayor utilización. Durante la semana que terminó el 20 de agosto, los préstamos de MAMO promediaron 84,86% de su límite de 3 millones de tokens, según mostraron los datos del foro.

Moonwell ya había enfrentado problemas con sus oráculos

Moonwell lidió con una falla de precios aparte a comienzos de este año, cuando una configuración del oráculo de cbETH produjo valuaciones incorrectas y liquidaciones forzadas en Base. El protocolo luego restauró su modelo de precios anterior para cbETH mientras discutía compensaciones para los prestatarios afectados.

La manipulación de oráculos también ha golpeado a otros mercados de préstamos en 2026. Bonzo Lend perdió unos 9,05 millones de dólares en julio, después de que un precio manipulado de SAUCE permitiera a un atacante tomar prestados millones de dólares en USDC y HBAR envuelto contra un colateral que valía solo unos pocos dólares.

Un exploit de oráculo aparte, de 915.000 dólares, en 42DAO utilizó un precio anormal de BTCB para provocar liquidaciones, después de que el protocolo aceptara ese valor sin controles de desviación suficientes.

Los pools de préstamos de Base absorben la extracción

Moonwell es una de las aplicaciones de préstamos más grandes de Base, con mercados individuales para USDC, WETH, cbBTC, wstETH y otros activos de colateral y préstamo. El ataque afectó la liquidez disponible a través de esos mercados compartidos, y no directamente las billeteras de los usuarios.

Solo el tramo de cbBTC retiró más de 4 millones de dólares de liquidez respaldada en Bitcoin, mientras que las transacciones restantes se dirigieron a USDC y a activos vinculados a Ethereum, mientras la valuación manipulada de MAMO seguía activa.

El incidente ocurrió cuatro días después de que KiiChain detuviera su red tras un exploit aparte en un módulo EVM, lo que sumó otra pérdida importante a una racha concentrada de ataques a protocolos en agosto.

La configuración de Base publicada por Moonwell indica un factor de colateral de MAMO del 50%, con el mercado limitado a un suministro de 20 millones de MAMO y préstamos de 3 millones de MAMO.

Este artículo fue publicado originalmente por Crypto Adventure.