Moonwell експлойт призвів до втрати $8.7 мільйонів і зростання ціни MAMO

• PeckShield оцінює збитки у $8,7 мільйона після того, як зловмисник маніпулював цінами забезпечення MAMO.
• Moonwell знизила ліміти кредитування у всіх Base Core Markets до 1 wei, фактично зупинивши нові кредити.
• Попередні збої у встановленні цін wrsETH і cbETH призвели до утворення поганого боргу на $3,7 мільйона та $1,78 мільйона відповідно.

За оцінками PeckShield, експлойт Moonwell призвів до виведення приблизно $8,7 мільйона з ринків запозичень на Base 27 серпня. Дослідники безпеки пов’язують атаку з роздутою ціною забезпечення MAMO.

Moonwell відреагувала, обмеживши можливість нового запозичення у своїх Base Core Markets. Зловмисник, як повідомляється, позичив cbBTC, USDC, wstETH та ETH під завищений токен, а потім консолідував кошти на Ethereum.

Експлойт Moonwell використав завищене забезпечення MAMO на Base

Початковий аналіз експлойту Moonwell від Blockaid виявив, що з протоколу було виведено 50,6 cbBTC, вартість яких перевищує $4 мільйони. Ця рання оцінка не охоплює всі постраждалі кредитні ринки.

MAMO торгується на відносно малоліквідних ринках, де сконцентровані покупки можуть різко рухати ціни. Дослідники зазначають, що зловмисник штучно завищив котирувану вартість перед використанням токенів як забезпечення.

Оракли надають зовнішні цінові дані, які кредитні протоколи використовують для оцінки забезпечення. Оракл Moonwell прийняв вищу ціну, збільшуючи суму, яку акаунт міг позичити. Заявлена вартість забезпечення перевищила ліквідність, необхідну для його підтримки.

Початкові звіти описують маніпуляцію ціною, а не встановлений злам основних смарт-контрактів. PeckShield відстежила отримані кошти до DAI за адресою Ethereum, яка починається з 0xD71d.

Обмеження кредитування після попередніх збоїв ореклів

Ліміти постачання для MAMO та токена управління WELL також були знижені до 1 wei. Moonwell повідомила, що інші ліміти постачання залишилися незмінними, та пообіцяла подальші оновлення.

Оголошені $8,7 мільйона — це попередня оцінка збитків, а не остаточний розрахунок безповоротного боргу. Будь-яке відновлення та залишкова вартість забезпечення вплинуть на кінцевий дефіцит протоколу.