Moonwell, un protocollo di lending decentralizzato costruito su Base, la rete Ethereum layer-2 sviluppata da Coinbase, è stato sfruttato il 27 agosto in un attacco che ha drenato un importo stimato di 8,7 milioni di dollari in asset. I ricercatori di sicurezza hanno collegato l’incidente alla manipolazione di MAMO, un token poco liquido accettato come collaterale in uno dei mercati di lending di Moonwell.

L’attacco evidenzia un rischio ricorrente nella finanza decentralizzata: quando i valori del collaterale derivano da asset a bassa liquidità, gli attaccanti possono creare una capacità di prestito artificiale. La manipolazione degli oracoli dei prezzi è una categoria di exploit ben documentata; l’incidente di Mango Markets del 2022 seguì una strategia simile, gonfiando il valore di un token poco trattato per prendere in prestito asset più liquidi contro di esso.

Come si è svolto l’attacco

Secondo i ricercatori di sicurezza, l’attaccante ha manipolato il prezzo del collaterale di MAMO e poi ha preso in prestito asset più liquidi da Moonwell utilizzando la valutazione gonfiata. Gli asset sottratti avrebbero incluso cbBTC (Coinbase Wrapped Bitcoin), USDC, wstETH (una forma wrapped di staked Ether) ed ETH.

Le prime attività di monitoraggio della blockchain hanno rilevato oltre 4 milioni di dollari in cbBTC in uscita dal protocollo durante l’attacco. Un tracciamento successivo ha collocato la perdita totale stimata vicino a 8,7 milioni di dollari.

L’incidente sembra derivare da una debolezza dell’oracle o della determinazione dei prezzi, piuttosto che da un furto convenzionale di codice smart contract. Spingendo verso l’alto il valore di mercato di MAMO, l’attaccante ha fatto apparire un collaterale relativamente economico come significativamente più prezioso all’interno del sistema di lending. Poiché un mercato poco profondo può essere spinto a prezzi estremi con relativamente poco capitale, un simile divario di valutazione può aprirsi prima che i parametri di rischio o i partecipanti al mercato possano reagire.

La risposta di Moonwell

Moonwell ha avviato un’indagine sul MAMO Core Market interessato e ha adottato misure precauzionali per limitare ulteriori prestiti. La risposta evidenzia l’importanza di isolare i mercati di collaterale compromessi prima che altri fondi possano uscire da un protocollo di lending; isolare un singolo mercato interessato, anziché mettere in pausa l’intero protocollo, è un approccio di contenimento comune per le piattaforme di lending.

L’incidente solleva anche interrogativi sui controlli di rischio per gli asset a bassa liquidità. Le piattaforme di lending generalmente calcolano la capacità di prestito a partire dai valori del collaterale e dai collateral factor. Se un feed dei prezzi può essere spostato bruscamente attraverso una liquidità di mercato limitata, gli attaccanti possono sfruttare la valutazione gonfiata prima che il sistema possa reagire. Incidenti di questo tipo hanno storicamente spinto i protocolli di lending a rivedere quali collaterali quotano e a irrigidire limiti, collateral factor e configurazioni degli oracoli.

La stima di 8,7 milioni di dollari potrebbe cambiare man mano che gli investigatori blockchain tracciano ulteriori transazioni e determinano l’importo finale sottratto. Gli asset rubati sarebbero stati consolidati in DAI, la stablecoin ancorata al dollaro di MakerDAO, mentre i team di sicurezza continuano a monitorare gli indirizzi associati. Restano aperti interrogativi su quale meccanismo di pricing sia fallito, su come Moonwell tratterà il mercato MAMO interessato e i suoi fornitori, e sul fatto che il tracciamento on-chain colleghi i fondi a qualche exchange o servizio in grado di bloccarli.

L’exploit di Moonwell si aggiunge al crescente esame dei protocolli di lending DeFi e della loro dipendenza dalla determinazione dei prezzi di mercato. Per gli utenti, l’incidente mostra quanto rapidamente le debolezze nella valutazione del collaterale possano tradursi in perdite di asset altrimenti liquidi. Poiché gli asset presi in prestito nei protocolli di lending provengono da pool condivisi, i depositanti in un mercato interessato sono in genere le parti più esposte in questo tipo di drenaggi; in precedenti hack comparabili, alcuni protocolli hanno rimborsato gli utenti colpiti, come ha fatto Euler Finance dopo il suo exploit del 2023, rendendo qualsiasi piano di rimborso di Moonwell un elemento chiave da seguire.