Взлом Moonwell привел к убыткам в размере $8,7 млн и росту цены MAMO

• По оценкам PeckShield, потери составили 8,7 миллионов долларов после того, как злоумышленник манипулировал ценообразованием обеспечения MAMO.
• Moonwell снизил пределы заимствований на рынках Base Core до 1 wei, фактически остановив новые кредиты.
• Ранее сбои в определении цены wrsETH и cbETH привели к возникновению плохих долгов на 3,7 миллиона и 1,78 миллиона долларов соответственно.

По данным PeckShield, в результате эксплойта Moonwell с лендинговых рынков Base было выведено примерно 8,7 миллионов долларов 27 августа. Исследователи безопасности связали атаку с завышенной ценой обеспечения MAMO.

Moonwell отреагировал, ограничив новые заимствования на своих рынках Base Core. Сообщается, что злоумышленник взял в долг cbBTC, USDC, wstETH и ETH под переоцененный токен, а затем перевел полученные средства в Ethereum.

Эксплойт Moonwell использует завышенное обеспечение MAMO на Base

Первичный анализ эксплойта Moonwell от Blockaid выявил, что 50,6 cbBTC на сумму более 4 миллионов долларов были выведены из протокола. Эта ранняя оценка не охватывает все затронутые лендинговые рынки.

MAMO торгуется на относительно неликвидных рынках, где сконцентрированные покупки могут резко двигать цену. По словам исследователей, злоумышленник искусственно завысил котируемую стоимость, прежде чем использовать токены в качестве обеспечения.

Оракулы предоставляют внешние ценовые данные, которые лендинговые протоколы используют для оценки обеспечения. Оракул Moonwell принял завышенную цену, увеличив сумму, которую можно было занять. Оценочная стоимость обеспечения оказалась выше доступной для поддержки ликвидности.

В первоначальных отчетах речь идет о манипуляции ценой, а не об обнаруженном взломе основных смарт-контрактов. PeckShield отследил вывод средств в DAI на Ethereum-адрес, начинающийся на 0xD71d.

Ограничения на заимствования следует за предыдущими сбоями оракулов

Верхние лимиты для MAMO и управляющего токена WELL также были снижены до 1 wei. Moonwell сообщил, что остальные лимиты поставки остались без изменений и пообещал предоставить дальнейшие обновления.

Сообщенная сумма в 8,7 миллионов долларов — это предварительная оценка убытков, а не окончательный расчет безвозвратной задолженности. Любое возмещение и оставшаяся стоимость обеспечения повлияют на окончательный дефицит протокола.