Lendingprotokollet Moonwell mistede omkring 8,7 millioner dollars til et udnyttelsesangreb i torsdags. Ingen smart contracts blev brudt. En angriber fik blot MAMO, en lille Base-token, til at fremstå langt mere værdifuld, end den reelt er.
Den oppustede kurs gjorde det muligt for angriberen at låne reelle aktiver, herunder Coinbase Wrapped Bitcoin (cbBTC) og USD Coin (USDC). Sikkerhedsfirmaet Blockaid opdagede aktiviteten, og Moonwell standsede nye lån inden for få timer.
Sådan fungerede Moonwell-udnyttelsen
Tricket var kursen, ikke koden. Blockaid rapporterede, at angriberen manipulerede MAMO-sikkerhedens kursfastsættelse for at tømme cbBTC fra Moonwells mCBTC-marked. Den første vurdering lød på 50,6 cbBTC væk, svarende til over 4 millioner dollars.
MAMO er tokenet bag Mamo, et udbytteredskab bygget på Base. Alle MAMO-tokens har tilsammen en værdi på omkring 7,6 millioner dollars, og tokenet handles til næsten $0,011366. Et så lille marked er billigt at pumpe.
Det var hele angrebet. Pump MAMO på små markeder, brug det som sikkerhed til en falsk kurs og lån aktiver med ægte værdi. Moonwells oracle, det system som leverer priser til protokollen, troede på pumpen.
Sikkerhedsfirmaet PeckShield vurderede senere de samlede tab til 8,7 millioner dollars. Det er mere end markedsværdien af alle MAMO-tokens. Firmaet oplyste, at midlerne nu ligger i DAI stablecoin på en wallet, der starter med 0xD71d.
Lånegrænser sat til én wei mens spørgsmål om opsving starter
Moonwell bekræftede hændelsen i et opslag og oplyste, at de allerede arbejdede på at stoppe tabene.
“Vi er opmærksomme på et problem, der påvirker MAMO Core Market på Base og undersøger det aktivt. Som en forsigtighedsforanstaltning er lånegrænser for alle Core Markets på Base sat til 1 wei, hvilket forhindrer nye lån og begrænser muligheden for yderligere skade,” skrev teamet.
En wei er den mindste mulige enhed. Ændringen spærrer for alle nye lån uden at påvirke udbetalinger. Også leveringsloftet for MAMO og WELL, Moonwells governance-token, blev sat ned til én wei.
Torsdagens udnyttelse er ikke en enlig svale. Dårlige priser, ikke dårlig kode, bliver ved med at koste Moonwell penge. En wrsETH-oracle fejl førte til omkring 3,7 millioner dollars i dårlig gæld i november 2025. En cbETH-oracle fejlkonfiguration lagde yderligere 1,78 millioner dollars til i februar. Kursfejl har nu kostet protokollen over 14 millioner dollars på ti måneder.
Det bredere marked viser samme svaghed. Term Labs mistede cirka 8,5 millioner dollars til et governance-angreb i søndags. Analytikere giver stadig oftere økonomisk design skylden for DeFi’s største tab, snarere end fejl i koden.
Moonwell oplyser, at endnu en opdatering er på vej. To tal vil vise, hvor slemt det står til. Først det endelige tab, når prisen på MAMO falder på plads. Dernæst hvor meget cbBTC og USDC der er tilbage til udbydere, der vil trække sig ud.
