Nalugi ang lending protocol na Moonwell ng nasa $8.7 milyon dahil sa isang exploit nitong Huwebes. Walang nasirang smart contract. May attacker na pinataas lang ang value ng MAMO, isang maliit na Base token, para magmukhang mas mahal ito kaysa sa totoong presyo.
Dahil sa sobrang tinaas na presyo, nagawa ng attacker na manghiram ng totoong assets tulad ng Coinbase Wrapped Bitcoin (cbBTC) at USD Coin (USDC). Na-detect ng security firm na Blockaid ang activity na ‘to, kaya agad nag-freeze ng bagong borrowing ang Moonwell makalipas lang ang ilang oras.
Paano Nagwork ang Moonwell Exploit
Hinalo ng attacker ang presyo, hindi mismong code. Ayon sa Blockaid, minanipula ng attacker ang presyo ng MAMO na ginawang collateral para matuyo ang cbBTC ng Moonwell sa mCBTC market nito. Sa unang estimate, halos 50.6 cbBTC ang nawala—lagpas $4 milyon ang halaga.
Ang MAMO ang token ng Mamo, isang yield tool sa Base. Lahat ng umiikot na MAMO ay nasa $7.6 milyon lang ang combined value, at nagta-trade ito sa halos $0.011366. Sa sobrang liit ng market, napakadaling taasan ang presyo.
Ganon lang kasimple yung attack: tinaasan ang presyo ng MAMO sa manipis na market, ginawang collateral gamit ang fake na presyo, tapos nanghiram ng assets na may totoong value. Naloko ng attacker ang oracle ng Moonwell (yung system na nagbibigay ng price data), kaya naniwala ito sa pinalaking presyo.
Sinabi ng security firm na PeckShield na umabot na sa $8.7 milyon ang nalugi. Mas malaki pa ‘to kaysa sa total market value ng lahat ng MAMO token. Sabi nila, nailipat na ang pondo ngayon sa DAI stablecoin at hawak ito ng wallet na nagsisimula sa 0xD71d.
Borrow Cap Ginawang One Wei Habang Lumalabas ang Recovery Questions
Aminado ang Moonwell sa insidente at nagsimulang gumawa ng paraan para hindi na lumaki ang lugi.
“Alam namin na may issue na nakaapekto sa MAMO Core Market sa Base at kasalukuyan namin itong iniimbestigahan. Bilang pang-iingat, ginawang 1 wei ang borrow cap para sa lahat ng Core Markets sa Base, kaya hinarang muna ang bagong borrowings at nilimitahan ang posibleng dagdag pang epekto,” ayon sa team.
Ang one wei ang pinakaliit na unit ng value sa Ethereum. Ibig sabihin, wala nang bago na pwedeng hiramin pero pwede pa ring mag-withdraw. Kahit ang supply cap ng MAMO at WELL (governance token ng Moonwell), ginawa na ring one wei lang.
Hindi ito ang unang beses na na-exploit ang Moonwell. Paulit-ulit nang nagkakaproblema hindi dahil sa bug sa code, kundi dahil sa maling price feed. Noong Nobyembre 2025, isang wrsETH oracle malfunction ang nagresulta sa $3.7 milyon na bad debt. Tapos noong Pebrero, may cbETH oracle misconfiguration na nagdagdag pa ng $1.78 milyon. Umabot na sa higit $14 milyon na ang nawala sa Moonwell sa loob lang ng 10 buwan dahil sa ganitong issues.
Sa mas malawak na DeFi space, pareho rin ang problema. Nawalan din ang Term Labs ng halos $8.5 milyon nitong Linggo dahil sa governance exploit. Habang tumatagal, sinisisi na ng mga analyst ang economic design failures kaysa sa bug sa code kung bakit laging may malaking lugi sa DeFi.
Sinabi ng Moonwell na may susunod pang update. May dalawang numero na kailangang abangan: Una, kung magkano talaga ang bad debt kapag bumalik sa normal ang presyo ng MAMO, at pangalawa, gaano pa karami ang natirang cbBTC at USDC para sa mga gustong mag-pull out ng funds.
