Eksploatacja Moonwell powiązana ze stratą 8,7 miliona dolarów i wzrostem ceny MAMO

• PeckShield szacuje straty na 8,7 miliona dolarów po tym, jak atakujący zmanipulował wycenę zabezpieczenia MAMO.
• Moonwell obniżył limity pożyczek we wszystkich Base Core Markets do 1 wei, skutecznie wstrzymując nowe pożyczki.
• Wcześniejsze problemy z wyceną wrsETH i cbETH spowodowały odpowiednio 3,7 miliona oraz 1,78 miliona dolarów złego długu.

Według PeckShield, exploit Moonwell skutkował wypłynięciem szacunkowo 8,7 miliona dolarów z rynków pożyczkowych na Base 27 sierpnia. Badacze ds. bezpieczeństwa powiązali atak z zawyżonymi cenami zabezpieczenia MAMO.

Moonwell zareagował, ograniczając możliwość zaciągania nowych pożyczek na swoich Base Core Markets. Według doniesień atakujący pożyczył cbBTC, USDC, wstETH i ETH pod zastaw przewartościowanego tokena, po czym skonsolidował środki na Ethereum.

Exploit Moonwell wykorzystuje zawyżone zabezpieczenie MAMO na Base

Wstępna analiza exploita Moonwell wykonana przez Blockaid wykazała, że z protokołu wyprowadzono 50,6 cbBTC o wartości ponad 4 milionów dolarów. Ta wczesna estymacja nie obejmowała wszystkich dotkniętych rynków pożyczkowych.

MAMO jest notowane na stosunkowo płytkich rynkach, gdzie skoncentrowany zakup może gwałtownie podnieść ceny. Badacze stwierdzili, że atakujący zawyżył wycenę tokena przed użyciem go jako zabezpieczenia.

Oracles dostarczają zewnętrzne dane cenowe, których protokoły pożyczkowe używają do wyceny zabezpieczeń. Oracle Moonwell zaakceptował wyższą cenę, zwiększając kwotę możliwą do pożyczenia przez konto. Pozorna wycena zabezpieczenia przewyższyła płynność dostępną do jej utrzymania.

Początkowe raporty opisują manipulację cenami, a nie naruszenie podstawowych smart kontraktów. PeckShield prześledził środki do DAI na adresie Ethereum zaczynającym się od 0xD71d.

Ograniczenia pożyczkowe po wcześniejszych błędach oracli

Limity podaży dla MAMO oraz tokena zarządzania WELL również zostały obniżone do 1 wei. Moonwell poinformował, że pozostałe limity podaży nie uległy zmianie i zapowiedział kolejne aktualizacje.

Zgłoszona kwota 8,7 miliona dolarów to wstępny szacunek straty, a nie ostateczne wyliczenie nieodzyskanych długów. Ewentualne odzyski i pozostała wartość zabezpieczenia wpłyną na całkowity deficyt protokołu.