Un mercato del rendimento di Pendle poco negoziato è stato manipolato nella prima parte di martedì per innescare circa $36.1 milioni di liquidazioni su Morpho, azzerando posizioni con leva in circa 14 minuti e lasciando indenni i prestatori. L’episodio ha riacceso il dibattito sul design degli oracoli nella finanza decentralizzata e sui rischi delle strategie di rendimento a loop, soprattutto nei mercati in cui i valori delle garanzie possono cambiare rapidamente rispetto alla liquidità disponibile.

L’attacco ha preso di mira il pool del principal token reUSD di Pendle con scadenza 10 dicembre, che conteneva meno di $9 million di liquidità, mentre il mercato di prestito di Morpho che accettava quei token come collaterale conteneva $67.5 million di garanzie contro $52.2 million di prestiti.

I mutuatari avevano portato le posizioni a health factor fino a 1.03, lasciando margini inferiori al 3% rispetto ai movimenti di prezzo. Tra le 04:37 e le 04:51 UTC, 33 eventi di liquidazione hanno rimborsato $36.14 million di debito e sequestrato 38.6 million di principal token, con il mercato USDC responsabile di quasi tutte le perdite. Le tre posizioni liquidate più grandi ammontavano rispettivamente a $13.01 million, $11.01 million e $6.83 million.

Gli analisti onchain hanno identificato un singolo wallet che ha acquistato token di rendimento reUSD per spingere il rendimento implicito al 20%, inondando il pool dei principal token e deprimendone il prezzo. La stessa entità sembra aver eseguito le liquidazioni, e un analista ha stimato guadagni realizzati di almeno $360,000.

Pendle e Steakhouse Financial, curator del vault, hanno entrambi affermato che il feed dei prezzi ha operato come previsto, facendo riferimento al minore tra il prezzo medio di mercato a 15 minuti e una curva di maturità fissa. Quando il prezzo di mercato è sceso, la media è diventata il riferimento, riducendo il valore delle garanzie e spingendo i mutuatari sovraesposti oltre la soglia di liquidazione del 91.5%.

Il protocollo non ha registrato bad debt. PENDLE è sceso del 4.3% a $1.74 e MORPHO è calato del 5% a $2.52, anche se entrambi restano in rialzo di circa il 29% nell’ultima settimana.

Da avviso a riprogettazione

La vulnerabilità era stata segnalata pubblicamente otto giorni prima, quando un utente aveva osservato nel forum di governance di Morpho che il volume dei prestiti superava di gran lunga la liquidità disponibile. Steakhouse aveva anche riconosciuto in un post del forum del 2025 che gli oracoli basati sul mercato, pur essendo più vicini ai prezzi reali, sono suscettibili di manipolazione nei pool poco negoziati.

Re Protocol, che emette reUSD, ha dichiarato di star indagando se il prezzo di mercato del principal token sia stato manipolato intenzionalmente e di stare lavorando con i team a una configurazione degli oracoli più sicura, sebbene nessun protocollo coinvolto abbia formalmente accusato il trader di manipolazione.

In risposta all’episodio, LlamaRisk ha delineato un’architettura alternativa che sta proponendo per Aave nell’ambito del sistema LlamaGuard PT. Anziché fare riferimento direttamente ai prezzi del pool, il design utilizza un tasso smussato su più giorni che ricalcola il prezzo solo quando la deriva supera una soglia pubblicata dello 0.30%, con ogni passaggio limitato da vincoli imposti dal contratto e soggetto a ritardi minimi tra un aggiornamento e l’altro. Questo costringerebbe qualsiasi attaccante a mantenere lo spostamento del pool per giorni anziché per minuti, rendendo la manipolazione lenta, costosa e visibile.

Inoltre, il sistema utilizza soglie di liquidazione dinamiche che aumentano man mano che i principal token si avvicinano alla maturità, ampliando automaticamente il potere di prestito mentre l’asset si riduce di rischio. L’architettura funziona sull’ambiente di runtime decentralizzato di Chainlink, con codice del flusso di lavoro verificabile crittograficamente e parametri di proprietà di Aave Governance anziché di un operatore delegato.