Moonwell 是一個建立在 Coinbase 開發的 Ethereum layer-2 網路 Base 上的去中心化借貸協議，於 8 月 27 日遭到利用，攻擊造成估計 $8.7 million 的資產流失。安全研究人員將此事件與 MAMO 的操縱行為相關聯；MAMO 是 Moonwell 某一借貸市場中接受作為抵押品、交易量較低的代幣。

這次攻擊凸顯去中心化金融中的一項反覆出現的風險：當抵押品價值來自低流動性資產時，攻擊者可以製造人為的借款能力。價格預言機操縱是一類已廣為人知的利用方式；2022 年的 Mango Markets 事件就採取了類似手法，先抬高交易量較低代幣的價值，再以此借出更多流動性資產。

攻擊如何發生

根據安全研究人員的說法，攻擊者先操縱 MAMO 的抵押品價格，接著利用被抬高的估值，從 Moonwell 借出更多流動性資產。據報被取走的資產包括 cbBTC（Coinbase Wrapped Bitcoin）、USDC、wstETH（staked Ether 的包裝形式）以及 ETH。

早期的區塊鏈監測在攻擊期間偵測到超過 $4 million 的 cbBTC 離開該協議。後續追蹤則將估計總損失提高至接近 $8.7 million。

此事件看起來更像是預言機或定價機制的弱點，而非傳統智能合約程式碼被竊。透過推高 MAMO 的市場價值，攻擊者讓原本相對便宜的抵押品在借貸系統內顯得大幅更有價值。由於薄弱市場只需相對少量資本就可能被推至極端價格，這類估值落差可能會在風險參數或市場參與者反應之前出現。

Moonwell 的回應

Moonwell 已開始調查受影響的 MAMO Core Market，並採取預防措施以限制進一步借款。此回應凸顯在更多資金離開借貸協議之前，隔離受損抵押市場的重要性；對借貸平台而言，隔離單一受影響市場，而非暫停整個協議，是常見的遏制方式。

此事件也引發對低流動性資產風險控管的疑問。借貸平台通常根據抵押品價值與抵押係數計算借款能力。如果價格來源能透過有限的市場流動性被大幅移動，攻擊者可能在系統反應之前利用被抬高的估值。這類事件歷來都促使借貸協議重新檢視上架哪些抵押品，並收緊上限、抵押係數與預言機設定。

隨著區塊鏈調查人員追蹤更多交易並確定最終提取金額，$8.7 million 的估計值仍可能變動。據報被盜資產已被整合為 DAI，MakerDAO 的美元掛鉤穩定幣，而安全團隊仍持續監控相關地址。目前仍待釐清的問題包括：究竟是哪一種定價機制失效、Moonwell 將如何處理受影響的 MAMO 市場及其供應者，以及鏈上追蹤是否能將資金連結到任何可凍結資產的交易所或服務。

Moonwell 這起利用事件也加劇了市場對 DeFi 借貸協議及其對市場定價依賴的審視。對使用者而言，這起事件顯示抵押品估值的弱點如何迅速轉化為原本仍具流動性資產的損失。由於借貸協議中的借出資產來自共享資金池，受影響市場中的存款人通常是此類資金流失中承受最大風險的一方；在過去類似駭侵中，部分協議曾向受影響使用者提供補償，例如 Euler Finance 在其 2023 年事件後曾進行賠付，因此 Moonwell 是否會提出補償方案將是觀察重點。