Utlånsprotokollen Moonwell tapte anslagsvis $ 8,7 millioner til et angrep torsdag. Ingen smartkontrakt ble brutt. En angriper fikk bare MAMO, en liten token på Base, til å fremstå som langt mer verdifull enn den faktisk er.
Den oppblåste prisen gjorde det mulig for angriperen å låne virkelige aktiva, inkludert Coinbase Wrapped Bitcoin (cbBTC) og USD Coin (USDC). Sikkerhetsselskapet Blockaid oppdaget aktiviteten, og Moonwell frøs nye utlån i løpet av noen timer.
Slik fungerte Moonwell-angrepet
Trikset lå i prisen, ikke koden. Blockaid rapporterte at angriperen manipulerte MAMO-pantprisen for å tømme cbBTC fra Moonwells mCBTC-marked. Den første anslaget viste at 50,6 cbBTC var borte, verdt mer enn $ 4 millioner.
MAMO er tokenet til Mamo, et avkastningsverktøy bygget på Base. Alle MAMO i omløp er sammenlagt verdt rundt $ 7,6 millioner, og tokenet handles nær $ 0,011366. Et så lite marked er enkelt å pumpe.
Det var hele angrepet. Pumpe MAMO i et tynt marked, bruke den oppblåste prisen som pant, og låne aktiva med reell verdi. Moonwells oracle, systemet som henter priser til protokollen, trodde på pumpen.
Sikkerhetsselskapet PeckShield anslo senere at det totale tapet var på $ 8,7 millioner. Det er mer enn markedsverdien for alle MAMO-tokens. Selskapet sier at midlene nå ligger i DAI stablecoin på en lommebok som starter med 0xD71d.
Lånebegrensning satt til én wei mens spørsmål om oppgang begynner
Moonwell anerkjente hendelsen i et innlegg, og indikerte at de allerede jobbet for å stanse tapene.
«Vi er kjent med et problem som påvirker MAMO Core Market på Base og undersøker saken aktivt. Som et sikkerhetstiltak er lånegrenser for alle Core Markets på Base satt til 1 wei, noe som forhindrer nye utlån og begrenser muligheten for ytterligere påvirkning,» skrev teamet her.
En wei er den minste mulige enheten. Endringen blokkerer alle nye lån uten å berøre uttak. Tilførselsbegrensninger for MAMO og WELL, Moonwells styringstoken, ble også endret til én wei.
Torsdagens angrep er ikke det første. Dårlige priser, og ikke dårlig kode, fortsetter å koste Moonwell penger. En wrsETH-oracle feil skapte rundt $ 3,7 millioner i dårlig gjeld i november 2025. En cbETH-oracle feilkonfigurasjon førte til ytterligere $ 1,78 millioner i februar. Prisingsfeil har nå kostet protokollen over $ 14 millioner på ti måneder.
Bransjen for øvrig viser samme svakhet. Term Labs tapte om lag $ 8,5 millioner til et styringsangrep søndag. Stadig flere eksperter skylder på økonomisk designsvikt heller enn ødelagt kode for DeFi-sektorens største tap.
Moonwell sier at det kommer en ny oppdatering. To tall vil fortelle den egentlige historien. Det første er det endelige tapet når MAMO-prisen stabiliserer seg. Det andre er hvor mye cbBTC og USDC som gjenstår for leverandører som vil ut.
