Moonwell подвергся атаке через манипуляцию оракулом на Base с ущербом, оцениваемым в $9 млн: злоумышленники искусственно завысили цену слаболиквидного залогового токена MAMO и использовали фиктивную оценку, чтобы занять более дорогие активы в кредитном протоколе, согласно анализу блокчейн-безопасности, опубликованному Blockaid.

В ходе атаки цена MAMO была разогнана через рынки с низкой ликвидностью примерно с $0,01 почти до $0,47, после чего завышенная цена попала в расчёты залога Moonwell. Ранние транзакции вывели cbBTC, USDC, wstETH и активы, обеспеченные ETH, из общих кредитных пулов протокола.

Во время атаки с рынка cbBTC было выведено не менее 50,6 cbBTC на сумму свыше $4 млн. Дополнительные заимствования по затронутым рынкам подняли первоначальные оценки общего объёма изъятия почти до $9 млн, пока специалисты продолжали отслеживать транзакции в сети Base.

Для пользователей Base и других кредиторов этот инцидент служит напоминанием, что данные оракулов могут значить не меньше, чем код смарт-контрактов: когда в качестве залога принимается низколиквидный рынок, резкое движение цены может изменить заёмную мощность раньше, чем протокол успеет отреагировать. На практике этот риск ложится на общие пулы ликвидности — именно поэтому заимствованные активы происходили из депозитов других пользователей Moonwell, а не из скомпрометированных кошельков.

Скачок цены MAMO завысил заёмную мощность

Moonwell допускает использование MAMO в качестве залога на Base с коэффициентом залога 50%, лимитом предложения 20 млн MAMO и лимитом заимствований 3 млн MAMO, согласно опубликованным параметрам риска протокола.

Такая конфигурация означала, что резкий рост цены MAMO по оракулу немедленно повышал долларовую оценку залога атакующего. Как только MAMO стал оцениваться около $0,47, а не примерно в $0,01, та же токенная позиция могла обеспечить значительно более крупные займы.

Заимствованные активы происходили из ликвидности, предоставленной другими пользователями Moonwell. Атакующему не нужно было похищать приватные ключи или нарушать консенсус Base; изъятие строилось на манипуляции ценой, используемой для оценки залога, и на заимствованиях под этот искажённый показатель до того, как рынок успел скорректироваться.

MAMO уже был одним из наиболее загруженных рынков Moonwell на Base. По данным форума, за неделю, завершившуюся 20 августа, заимствования MAMO в среднем составляли 84,86% от лимита в 3 млн токенов.

Moonwell уже сталкивался с проблемами оракулов

Ранее в этом году Moonwell пережил отдельный сбой ценообразования: конфигурация оракула cbETH приводила к ошибочным оценкам и принудительным ликвидациям на Base. Позже протокол восстановил прежнюю модель ценообразования cbETH, обсуждая при этом компенсации для пострадавших заёмщиков.

Манипуляции с оракулами в 2026 году затронули и другие кредитные рынки. В июле Bonzo Lend потерял около $9,05 млн после того, как манипулированная цена SAUCE позволила атакующему занять миллионы долларов в USDC и wrapped HBAR под залог стоимостью всего в несколько долларов.

Отдельная атака через оракула в 42DAO с ущербом $915 000 использовала аномальную цену BTCB для запуска ликвидаций после того, как протокол принял это значение без достаточных механизмов контроля отклонений.

Кредитные пулы Base приняли на себя изъятие

Moonwell — одно из крупнейших кредитных приложений на Base с отдельными рынками для USDC, WETH, cbBTC, wstETH и других залоговых и заёмных активов. Атака затронула ликвидность, доступную через эти общие рынки, а не кошельки пользователей напрямую.

Только сегмент cbBTC вывел более $4 млн ликвидности, обеспеченной биткоином, тогда как остальные транзакции были направлены на USDC и активы, связанные с Ethereum, пока манипулированная оценка MAMO оставалась активной.

Инцидент произошёл через четыре дня после того, как KiiChain приостановила работу своей сети из-за отдельного эксплойта EVM-модуля, добавив ещё один крупный ущерб к целой серии атак на протоколы в августе.

Согласно опубликованной конфигурации Moonwell на Base, коэффициент залога MAMO составляет 50%, при этом рынок ограничен 20 млн MAMO в предложении и 3 млн MAMO в заимствованиях.

Эта статья впервые опубликована Crypto Adventure.