Moonwell, zdecentralizowany protokół pożyczkowy działający na Base, został zaatakowany 27 sierpnia w incydencie, który doprowadził do utraty szacowanych 8,7 mln USD aktywów. Badacze bezpieczeństwa powiązali zdarzenie z manipulacją MAMO, stosunkowo mało płynnym tokenem używanym jako zabezpieczenie na jednym z rynków pożyczkowych Moonwell.

Atak podkreśla powtarzające się ryzyko w zdecentralizowanych finansach: gdy wartości zabezpieczeń są wyprowadzane z aktywów o niskiej płynności, napastnicy mogą sztucznie tworzyć zdolność do zaciągania pożyczek.

Manipulacja ceną MAMO doprowadziła do exploita

Według badaczy bezpieczeństwa atakujący zmanipulował cenę zabezpieczenia MAMO, a następnie wykorzystał zawyżoną wycenę do pożyczenia bardziej płynnych aktywów z Moonwell. Wśród aktywów miały znaleźć się cbBTC, USDC, wstETH i ETH.

Wczesny monitoring blockchaina wykazał, że podczas ataku z protokołu wyprowadzono cbBTC o wartości ponad 4 mln USD. Późniejsze śledzenie oszacowało całkowitą stratę na około 8,7 mln USD.

Incydent wydaje się wynikać ze słabości oracle lub mechanizmu wyceny, a nie z klasycznej kradzieży kodu smart contractu. Podnosząc wartość rynkową MAMO, napastnik sprawił, że relatywnie tanie zabezpieczenie wyglądało w systemie pożyczkowym na znacznie cenniejsze.

Reakcja Moonwell

Moonwell rozpoczął dochodzenie w sprawie dotkniętego rynku MAMO Core Market i podjął środki ostrożności, aby ograniczyć dalsze pożyczanie. Taka reakcja pokazuje znaczenie odizolowania skompromitowanych rynków zabezpieczeń, zanim z protokołu pożyczkowego wypłyną kolejne środki.

Incydent rodzi też pytania o mechanizmy kontroli ryzyka dla aktywów o niskiej płynności. Platformy pożyczkowe zazwyczaj obliczają zdolność kredytową na podstawie wartości zabezpieczeń i współczynników zabezpieczenia. Jeśli feed cenowy można znacząco przesunąć przy ograniczonej płynności rynku, napastnicy mogą wykorzystać tę zawyżoną wycenę, zanim system zareaguje.

Szacowana kwota 8,7 mln USD może się zmienić, gdy śledczy blockchainowi prześledzą dodatkowe transakcje i ustalą ostateczną kwotę wyprowadzonych środków. Według doniesień skradzione aktywa zostały skonsolidowane w DAI, a zespoły bezpieczeństwa nadal monitorują powiązane adresy.

Exploita Moonwell zwiększa rosnącą uwagę skierowaną na protokoły pożyczkowe DeFi i ich zależność od wyceny rynkowej. Dla użytkowników incydent pokazuje, jak szybko słabości w wycenie zabezpieczeń mogą przełożyć się na straty aktywów, które w normalnych warunkach są płynne.