Кредитный протокол Moonwell в сети Base подвергся манипуляции ценой, потери оцениваются в $8,7 млн

По данным CoinMarketCap, кредитный протокол Moonwell в сети Base столкнулся с инцидентом манипулирования ценой залога. Злоумышленник искусственно завысил котировку низколиквидного токена MAMO, использовал его как обеспечение и занял более ликвидные активы, что привело к потерям примерно на $8,7 млн. После инцидента Moonwell в экстренном порядке ужесточил параметры кредитования для рынка Base, фактически остановив выдачу новых займов. Лимит заимствований для всех Core Markets в Base был снижен до 1 wei, что практически блокирует новые заимствования. Протокол также сократил лимиты предложения для MAMO и WELL до 1 wei; лимиты по остальным активам оставлены без изменений. Оценку ущерба около $8,7 млн дали и CertiK, и PeckShield. Ранее Blockaid зафиксировал отток 50,6 cbBTC с рынка mCBTC протокола, что на тот момент превышало $4 млн. Как отмечается в сообщениях, проблема связана не с кодом смарт-контрактов, а с механизмом ценообразования. Воспользовавшись низкой ликвидностью на рынке MAMO, атакующий сначала разогнал цену токена, затем под залог переоцененного актива занял более ликвидные cbBTC и USDC. Позднее PeckShield сообщил, что похищенные средства были консолидированы в DAI. Согласно разбору инцидента, злоумышленник потратил около $7 млн на покупку MAMO, затем частично сократил позицию и вернул около $3,2 млн. Несмотря на убыток по самим сделкам с MAMO, заемные активы, полученные под завышенный залог, имели более высокую стоимость, что в итоге обеспечило прибыль. Инцидент вновь подчеркнул зависимость DeFi-кредитования от ценовых источников и ликвидности залоговых активов. При недостаточной глубине рынка концентрированная покупка способна резко завысить котировку, а при слабых ограничениях в протоколе это приводит к чрезмерному росту доступных лимитов заимствований. Подобные случаи уже происходили: в отчете отмечается, что в 2025 году KiloEX также подвергся атаке из-за слабостей ценового оракула и потерял около $7,5 млн. Недавно Term Finance пережил DeFi-инцидент примерно на $8,5 млн, что показывает: риски протоколов не ограничиваются уязвимостями кода. Moonwell сообщает, что расследование инцидента на рынке MAMO продолжается. Исследователи безопасности, включая Blockaid и PeckShield, продолжают мониторинг связанных транзакций; статус возврата средств остается неясным.