Moonwell sur Base victime d'une manipulation de prix : 8,7 M$ de pertes

Selon CoinMarketCap, le protocole de prêt DeFi Moonwell, déployé sur la blockchain Base, a subi un incident de manipulation du prix d'un collatéral. L'attaquant a artificiellement gonflé le cours du jeton peu liquide MAMO, puis l'a utilisé comme garantie pour emprunter des actifs plus liquides et de plus grande valeur, provoquant environ 8,7 M$ de pertes. Moonwell a réagi en durcissant en urgence les paramètres de prêt sur le marché Base, ce qui a de fait stoppé les nouveaux emprunts. Le protocole a abaissé la limite d'emprunt de tous les "Core Markets" sur Base à 1 wei, rendant les nouveaux emprunts pratiquement impossibles. Les plafonds de dépôt (supply limits) pour MAMO et WELL ont aussi été réduits à 1 wei, tandis que ceux des autres actifs restent inchangés. Les sociétés de sécurité CertiK et PeckShield évaluent toutes deux les pertes à environ 8,7 M$. Blockaid avait auparavant observé une sortie de 50,6 cbBTC du marché mCBTC du protocole, pour une valeur supérieure à 4 M$ au moment des faits. D'après les analyses, le problème provient de la tarification, et non du code des contrats. Il ne s'agit pas d'une exploitation classique d'une faille de smart contract, mais d'un contournement de l'infrastructure de prix. Profitant du manque de liquidité sur le marché MAMO, l'attaquant a d'abord fait monter le prix du jeton, puis a emprunté des actifs plus liquides comme cbBTC et USDC en s'appuyant sur un collatéral surévalué. PeckShield a ensuite indiqué que les fonds dérobés avaient été regroupés en DAI. Une analyse avance que l'attaquant aurait dépensé environ 7 M$ pour acheter du MAMO, avant de revendre une partie de la position et de récupérer environ 3,2 M$. Les transactions sur MAMO auraient à elles seules généré une perte, mais les actifs empruntés grâce au collatéral gonflé étant d'une valeur supérieure, l'opération aurait au final été rentable. L'affaire remet en lumière la dépendance des prêts DeFi aux flux de prix et à la liquidité des collatéraux. Lorsqu'un actif de garantie manque de profondeur de marché, un ordre d'achat concentré peut faire grimper rapidement le prix affiché ; sans garde-fous suffisants, les capacités d'emprunt peuvent se retrouver artificiellement augmentées. Le rapport rappelle qu'en 2025, KiloEX avait aussi été attaqué en raison de faiblesses de son oracle de prix, pour des pertes d'environ 7,5 M$. Plus récemment, Term Finance a connu un incident DeFi d'environ 8,5 M$, signe que les risques des protocoles ne se limitent pas aux vulnérabilités du code. Moonwell affirme poursuivre l'enquête sur l'incident lié au marché MAMO. Des chercheurs en sécurité, dont Blockaid et PeckShield, continuent de surveiller les transactions associées, et l'état d'une éventuelle récupération des fonds reste incertain.