Il protocollo di lending Moonwell ha perso circa 8,7 milioni di dollari a causa di un exploit avvenuto giovedì. Nessuno smart contract è stato violato. Un attaccante ha semplicemente fatto sembrare MAMO, un piccolo token su Base, molto più prezioso di quanto sia realmente.
Il prezzo gonfiato ha permesso all’attaccante di prendere in prestito asset reali, tra cui Coinbase Wrapped Bitcoin (cbBTC) e USD Coin (USDC). La società di sicurezza Blockaid ha rilevato l’attività e Moonwell ha bloccato i nuovi prestiti nel giro di poche ore.
Come ha funzionato l’exploit su Moonwell
Il trucco era il prezzo, non il codice. Blockaid ha segnalato che l’attaccante ha manipolato il prezzo del collaterale MAMO per svuotare cbBTC dal mercato mCBTC di Moonwell. La sua prima stima ha rilevato la sparizione di 50,6 cbBTC, per un valore superiore a 4 milioni di dollari.
MAMO è il token di Mamo, uno strumento di yield costruito su Base. Tutti i MAMO in circolazione valgono complessivamente circa 7,6 milioni di dollari e il token viene scambiato intorno a 0,011366 dollari. Un mercato così piccolo è facile da manipolare al rialzo.
Questa è stata l’intera operazione: manipolare il prezzo di MAMO su mercati poco liquidi, usarlo come collaterale a un prezzo falso e prendere in prestito asset con valore reale. L’oracolo di Moonwell, il sistema che fornisce i prezzi al protocollo, ha creduto al pump.
La società di sicurezza PeckShield ha poi calcolato perdite totali per 8,7 milioni di dollari. È una somma superiore al valore di mercato di tutti i token MAMO esistenti. Secondo PeckShield, i fondi sono ora nella stablecoin DAI in un wallet che inizia con 0xD71d.
Borrow cap ridotti a un wei mentre sorgono domande sul recupero
Moonwell ha riconosciuto l’accaduto in un post, dichiarando di essere già al lavoro per arginare la situazione.
“Siamo a conoscenza di un problema che riguarda il Core Market di MAMO su Base e stiamo indagando attivamente. Come precauzione, i borrow cap per tutti i Core Market su Base sono stati impostati a 1 wei, impedendo nuovi prestiti e limitando potenzialmente ulteriori impatti,” ha scritto il team.
Un wei è l’unità più piccola possibile. La modifica blocca tutti i nuovi prestiti senza intaccare i prelievi. I supply cap di MAMO e WELL, il token di governance di Moonwell, sono stati anch’essi ridotti a un wei.
L’exploit di giovedì non è stato un caso isolato. Prezzi errati, e non smart contract difettosi, continuano a costare caro a Moonwell. Un malfunzionamento dell’oracolo wrsETH ha generato circa 3,7 milioni di dollari di cattivo debito a novembre 2025. Una configurazione errata dell’oracolo cbETH ha aggiunto altri 1,78 milioni di dollari a febbraio. I problemi di pricing sono costati al protocollo oltre 14 milioni di dollari in dieci mesi.
Anche il settore più ampio mostra la stessa debolezza. Term Labs ha perso circa 8,5 milioni di dollari a causa di un exploit nella governance domenica scorsa. Gli analisti puntano sempre di più il dito contro fallimenti nel design economico invece che contro errori nel codice per le maggiori perdite della DeFi.
Moonwell annuncia che presto arriverà un nuovo aggiornamento. Due numeri racconteranno la vera storia: il primo è l’ammontare finale del cattivo debito una volta che il prezzo di MAMO si sarà stabilizzato; il secondo è quanta cbBTC e USDC rimane per i fornitori che vogliono ritirarsi.
