Moonwell został zaatakowany w szacowanym na $9 million ataku manipulacji oraklem na Base, po tym jak sprawcy zawyżyli cenę niskopłynnego tokena zabezpieczającego MAMO i wykorzystali sztuczną wycenę do pożyczenia z protokołu lendingowego aktywów o wyższej wartości, według analizy bezpieczeństwa blockchain udostępnionej przez Blockaid.

Atak podniósł cenę MAMO z około $0.01 do niemal $0.47 na rynkach o niskiej płynności, zanim zawyżona cena trafiła do obliczeń zabezpieczeń Moonwell. Wczesne transakcje wyprowadziły z wspólnych pul lendingowych protokołu aktywa cbBTC, USDC, wstETH oraz aktywa oparte na ETH.

W trakcie ataku z rynku cbBTC usunięto co najmniej 50.6 cbBTC o wartości ponad $4 million. Dodatkowe pożyczki w dotkniętych rynkach przesunęły wstępne szacunki łącznej skali wyprowadzenia w kierunku $9 million, podczas gdy badacze nadal śledzili transakcje na Base.

Dla użytkowników Base i innych pożyczkodawców incydent jest przypomnieniem, że dane z orakli mogą mieć równie duże znaczenie jak kod smart kontraktów: gdy cienki rynek zostanie zaakceptowany jako zabezpieczenie, nagły ruch ceny może zmienić zdolność kredytową, zanim protokół zdąży zareagować. W praktyce ryzyko to spada na wspólne pule płynności, dlatego pożyczone aktywa pochodziły z depozytów innych użytkowników Moonwell, a nie z przejętych portfeli.

Skok ceny MAMO zwiększył zdolność pożyczkową

Moonwell pozwala używać MAMO jako zabezpieczenia na Base przy współczynniku zabezpieczenia 50%, limicie podaży 20 million MAMO oraz limicie pożyczek 3 million MAMO, zgodnie z opublikowanymi parametrami ryzyka protokołu.

Taka konfiguracja oznaczała, że gwałtowny wzrost ceny orakla MAMO natychmiast podniósł wartość dolarową przypisaną do zabezpieczenia atakującego. Gdy MAMO zostało wycenione blisko $0.47 zamiast około $0.01, ta sama pozycja tokenowa mogła wspierać znacznie większe pożyczki.

Pożyczone aktywa pochodziły z płynności dostarczonej przez innych użytkowników Moonwell. Atakujący nie musiał kompromitować kluczy prywatnych ani naruszać konsensusu Base; wyprowadzenie środków opierało się na manipulacji ceną używaną do wyceny zabezpieczenia i pożyczaniu pod tak zniekształconą wycenę, zanim rynek zdążył się skorygować.

MAMO już wcześniej należało do bardziej wykorzystywanych rynków Base w Moonwell. W tygodniu kończącym się 20 August średnia wartość pożyczek MAMO wynosiła 84.86% limitu 3 million tokenów, co pokazały dane forum.

Moonwell wcześniej mierzył się już z problemami orakli

Moonwell miał wcześniej w tym roku do czynienia z odrębną awarią wyceny, gdy konfiguracja orakla cbETH doprowadziła do błędnych wycen i wymusiła likwidacje na Base. Protokół później przywrócił wcześniejszy model wyceny cbETH, jednocześnie omawiając rekompensaty dla poszkodowanych pożyczkobiorców.

Manipulacja oraklem dotknęła też inne rynki lendingowe w 2026 roku. Bonzo Lend stracił około $9.05 million w July, po tym jak zmanipulowana cena SAUCE pozwoliła atakującemu pożyczyć miliony dolarów w USDC i wrapped HBAR pod zastaw aktywów wartych zaledwie kilka dolarów.

Osobny eksploit orakla o wartości $915,000 w 42DAO wykorzystał nienormalną cenę BTCB do wywołania likwidacji po tym, jak protokół zaakceptował tę wartość bez wystarczających kontroli odchyleń.

Pule lendingowe na Base absorbują wyprowadzone środki

Moonwell jest jedną z największych aplikacji lendingowych na Base, z osobnymi rynkami dla USDC, WETH, cbBTC, wstETH oraz innych aktywów zabezpieczających i pożyczanych. Atak wpłynął na płynność dostępną w tych wspólnych rynkach, a nie bezpośrednio na portfele użytkowników.

Sam segment cbBTC usunął ponad $4 million płynności zabezpieczonej Bitcoinem, podczas gdy pozostałe transakcje były wymierzone w USDC i aktywa powiązane z Ethereum, gdy zmanipulowana wycena MAMO nadal obowiązywała.

Incydent nastąpił cztery dni po tym, jak KiiChain wstrzymał swoją sieć po osobnym exploicie modułu EVM, co dodało kolejną dużą stratę do skoncentrowanej serii sierpniowych ataków na protokoły.

Opublikowana konfiguracja Base Moonwell wskazuje współczynnik zabezpieczenia MAMO na 50%, przy limicie rynku wynoszącym 20 million MAMO dostarczonych i 3 million MAMO pożyczonych.

Artykuł po raz pierwszy opublikowano w serwisie Crypto Adventure.