Что произошло в результате уязвимости Moonwell? $8.7M потеряно на Base

27 августа 2026 года, Moonwell взлом на Base вывел $8.7 миллиона после того, как злоумышленник манипулировал ценой обеспечения MAMO, чтобы занять реальные активы из децентрализованного кредитного протокола. Эта атака на оракул цен, а не нарушение смарт-контракта, нацелилась на основной рынок MAMO Moonwell и оставила протокол с значительными плохими долгами. 

Эта статья расскажет о том, что произошло, как именно произошел взлом, были ли затронуты средства пользователей и как отреагировал Moonwell.

Основные выводы

• MAMO, токен обеспечения с низкой ликвидностью, не связанный с собственным токеном WELL от Moonwell, был искусственно накачан примерно в восемь раз и использован для займа реальных активов у Moonwell.

• Криминальные фирмы CertiK, PeckShield и Blockaid независимо оценили убытки приблизительно в $8.7 миллиона, при этом украденные средства были преобразованы в DAI и находятся нетронутыми в едином кошельке.

• Moonwell заморозил новое заимствование по всем рынкам Base в течение нескольких часов; существующие депозитные средства остались доступными для вывода, но истощенная ликвидность оставляет протоколу плохие долги, которые ему все еще предстоит решить.

Что произошло: Взлом Moonwell Base в кратком изложении

Злоумышленник нацелился на MAMO Основной рынок Moonwell на Base. Манипулируя ценой MAMO, они сделали относительно небольшую долю выглядеть гораздо более ценной, чем она была, а затем использовали эту завышенную стоимость в качестве обеспечения для займа реальных ликвидных активов, включая cbBTC, USDC, wstETH и ETH. 

Криминальные фирмы CertiK, PeckShield и Blockaid отдельно подтвердили убытки примерно в $8.7 миллиона. Ни один смарт-контракт Moonwell не был взломан в процессе; взлом работал полностью через манипуляцию ценами.

Как работал взлом обеспечения MAMO

Трюк с ценами, а не взлом кода

Moonwell устанавливает цены на обеспечение с использованием спотового оракула, что означает, что он просто считывает ту цену, по которой токен торгуется на децентрализованной бирже в этот конкретный момент. Перед атакой у MAMO было всего около $1.18 миллиона в суточном торговом объеме, что составляет небольшую пулу по стандартам DeFi. 

Путем агрессивной покупки MAMO на двух основных торговых площадках, Aerodrome SlipStream и Uniswap V4, злоумышленник поднял цену MAMO с примерно $0.011 до где-то между $0.088 и $0.43 в зависимости от окна измерения, согласно различным мерам безопасности. 

Оракул Moonwell воспринял эту завышенную цену как легитимную, что позволило злоумышленнику внести MAMO и занять гораздо более ценные активы, чем фактическая стоимость позиции.

MAMO против WELL: Почему это различие важно

Эту часть стоит повторить ясно. MAMO – это актив для обеспечения который былManipulated; он привязан к отдельному приложению Mamo, которое утверждало, что его собственные контракты никогда не были скомпрометированы. WELL — это собственный токен управления Moonwell, и он не был токеном, подвергшимся манипуляциям. 

Moonwell действительно снизил лимиты предложения как для MAMO, так и для WELL до 1 вей, что, вероятно, является причиной того, почему два токена были упомянуты вместе в заголовках. 

С точки зрения цены оба токена испытали волатильные колебания после выхода новости, WELL упал примерно на 13% в течение 24 часов по данным, полученным от CoinGecko, в то время как некоторый внутридневный мониторинг также показал краткие резкие всплески среди волатильности, прежде чем снова установить низкую, пористую торговлю, типичную для токена низкой ликвидности, реагирующего на плохие новости.

Исследуйте больше идей DeFi и торгуйте безопасно! Зарегистрируйтесь на Bitrue сегодня, чтобы получить доступ к широкому спектру крипторынков с легкостью.

Были ли затронуты средства пользователей?

Существующие депозиторы на рынках Moonwell Base все еще могли вывести свои средства после взлома; экстренные меры заблокировали новое заимствование, а не существующие выводы. Тем не менее, $8.7 миллиона, которые были истощены, пришли непосредственно из ликвидности кредитования протокола, что означает, что долг фактически является невозвратным плохим долгом, если злоумышленник не вернет средства или не будет идентифицирован. 

Этот плохой долг должен быть где-то поглощен, именно поэтому пользователи, взаимодействующие с рынками Moonwell Base или приложениями, такими как Mamo, которые прокладывают депозиты через Moonwell, должны следить за официальными обновлениями любого плана компенсации, прежде чем предполагать, что ситуация полностью разрешена.

Ответ Moonwell

Moonwell подтвердил инцидент в X, заявив, что он осведомлен о проблеме, затрагивающей Основной рынок MAMO на Base, и активно расследует. В качестве немедленной меры протокол установил лимиты заимствования для всех Основных рынков на Base на уровне 1 вей, самой маленькой возможной единицы на токене на базе Ethereum, фактически приостановив новое кредитование без необходимости длительного голосования по управлению. Лимиты предложения как для MAMO, так и для WELL также были установлены на уровне 1 вей. 

На момент публикации Moonwell не объявил о рамках компенсации за убытки и заявил, что последующие обновления последуют по мере появления новой информации.

Быстрая справка: MAMO против WELL

Читайте также: Прогноз цены Moonwell (WELL) на 2025–2030: Прогноз и стратегический анализ

Резюме

Эксплуатация Moonwell является учебным примером манипуляции оракулом, а не взломом на уровне контракта. Нападавший никогда не касался кода Moonwell; они использовали разрыв между реальной ценностью тонко торгуемого токена залога и тем, что оракул, сообщающий спотовую цену, сообщил в тот момент.

Различие между MAMO и WELL имеет значение для тех, кто пытается понять подверженность: MAMO был манипулируемым активом, WELL – это собственный токен Moonwell, который в основном пострадал через экстренные рисковые лимиты и настроения на рынке. Пока такие протоколы, как Moonwell, не примут более строгие пороги ликвидности и проценто-взвешенные цены для новых листингов залога, этот тип эксплуатации, вероятно, продолжит повторяться на платформе Base DeFi.

Отказ от ответственности: Выраженные мнения принадлежат исключительно автору и не отражают мнений этой платформы. Эта платформа и ее дочерние компании отказываются от любой ответственности за точность или соответствие представленной информации. Это предназначено только для информационных целей и не является финансовым или инвестиционным советом.

Часто задаваемые вопросы

Что именно произошло во взломе Moonwell?

Нападающий манипулировал ценой MAMO, токена с низкой ликвидностью, который Moonwell принял в качестве залога, а затем использовал искусственно завышенную стоимость, чтобы занять реальные активы, такие как cbBTC, USDC и ETH, отведя примерно 8,7 миллиона долларов.

Является ли MAMO тем же самым, что и токен WELL от Moonwell?

Нет. MAMO принадлежит отдельному приложению под названием Mamo и был просто перечислен как залог на Moonwell. WELL – это собственный токен управления от Moonwell и не был токеном, непосредственно манипулируемым в атаке.

Были ли средства пользователей на Moonwell подвержены риску?

Существующие депозиты остались доступными для вывода после эксплуатации. Израсходованные 8,7 миллиона долларов поступили из ликвидности кредитования протокола, а не непосредственно от заблокированного залога пользователей, но это представляет собой плохой долг, который протокол в конечном итоге должен будет решить.

Как Moonwell отреагировала на взлом?

Moonwell установил лимиты на заимствование для всех основных рынков на платформе Base до 1 wei, фактически остановив новое заимствование, и понизил лимиты на предложение для MAMO и WELL до одного и того же уровня, все это без необходимости полного голосования по управлению.

Может ли этот тип эксплуатации произойти снова?

Да. Любой протокол, использующий оракулы спотовых цен для тонко торгуемых токенов залога, подвергается аналогичному риску. Это третий инцидент безопасности, связанный с оракулами Moonwell, менее чем за год, по данным исследователей безопасности, отслеживающих протокол.

Отказ от ответственности: Выраженные мнения принадлежат исключительно автору и не отражают мнений этой платформы. Эта платформа и ее дочерние компании отказываются от любой ответственности за точность или соответствие представленной информации. Это предназначено только для информационных целей и не является финансовым или инвестиционным советом.