Moonwell на Base лишился 8,7 миллиона долларов, а виноват оказался не код, а обычная манипуляция ценой

27 августа Moonwell потерял около $8,7 млн на своем Base-рынке MAMO Core Market. И самое неприятное - злоумышленнику не понадобилось искать баги в смарт-контрактах.

Инцидент не был прямым взломом смарт-контрактов Moonwell - использовалась низкая ликвидность рынка MAMO и зависимость протокола от ценовых оракулов, которые можно двигать обычными сделками. Проще говоря: атакующий разогнал цену MAMO примерно с $0,0105 до $0,088, почти в восемь раз, торгуя против неглубокого стакана токена.

Дальше все просто. С искусственно "разогнанной" ценой MAMO злоумышленник внес токен в качестве залога и занял под него реальные активы - cbBTC, USDC, wstETH и ETH с Base-рынков Moonwell. Полученное злоумышленник перевел в DAI и объединил все на одном кошельке.

Ущерб независимо подтвердили сразу три компании по безопасности: CertiK, PeckShield и Blockaid независимо проследили один и тот же путь атаки. Moonwell в ответ выставил лимиты на займы в 1 wei на всех Core Markets на Base, а также урезал лимиты предложения MAMO и WELL до 1 wei, чтобы остановить дальнейшие потери.

Неприятно и то, что это уже не первый звонок для протокола. До этого Moonwell уже переживал два инцидента, связанных с оракулами: манипуляцию ценой в ноябре 2025 года и потерю $1,78 млн в феврале 2026-го из-за неверно настроенного оракула cbETH.

Мораль истории проста - если протокол принимает низколиквидные токены как залог с расчетом по спотовой цене, рано или поздно кто-то этим воспользуется.

#Moonwell #Base #ОракулыDeFi

💰Автоматический обмен