Lendingprotokollet Moonwell förlorade uppskattningsvis 8,7 miljoner USD på torsdagen efter en attack. Ingen smart kontrakt gick sönder. En angripare fick helt enkelt MAMO, en liten Base-token, att se mycket mer värdefull ut än den verkligen är.
Det höga priset gjorde att angriparen kunde låna riktiga tillgångar, som Coinbase Wrapped Bitcoin (cbBTC) och USD Coin (USDC). Säkerhetsföretaget Blockaid upptäckte attacken, och Moonwell stoppade nya lån inom några timmar.
Så gick Moonwell-attacken till
Tricket handlade om priset, inte koden. Blockaid rapporterade att angriparen manipulerade MAMO-pantens pris för att tömma cbBTC från Moonwells mCBTC-marknad. Den första uppskattningen visade att 50,6 cbBTC försvann, värt över 4 miljoner USD.
MAMO är tokenen för Mamo, ett verktyg för avkastning byggt på Base. Alla MAMO som finns är tillsammans värda cirka 7,6 miljoner USD, och tokenen handlas runt 0,011366 USD. En så liten marknad är enkel att påverka.
Det var hela attacken. Pumpa upp MAMO i tunna marknader, använd den som pant till ett falskt pris och låna tillgångar med riktigt värde. Moonwells oracle, som matar in priser till protokollet, litade på pumpen.
Säkerhetsföretaget PeckShield uppskattade senare den totala förlusten till 8,7 miljoner USD. Det är mer än marknadsvärdet för alla MAMO-token. Företaget sa att pengarna nu finns som DAI stablecoin på en plånbok som börjar med 0xD71d.
Lånetak sattes till en wei – frågor om återhämtning väntar
Moonwell bekräftade incidenten i ett inlägg och berättade att de redan jobbade med att stoppa problemen.
“Vi känner till ett problem som påverkar MAMO Core Market på Base och vi undersöker aktivt. Som försiktighetsåtgärd har lånetaket för alla Core Markets på Base satts till 1 wei, vilket stoppar nya lån och begränsar ytterligare påverkan”, skrev teamet här.
En wei är den minsta möjliga enheten. Förändringen blockerar alla nya lån utan att påverka uttag. Taket för MAMO och WELL, Moonwells styrningstoken, sänktes också till en wei.
Torsdagens attack var inte den första. Felaktiga priser, inte trasig kod, har kostat Moonwell pengar tidigare. En wrsETH-oracle störde marknaden och skapade 3,7 miljoner USD i dåliga skulder i november 2025. En cbETH-oracle gav ytterligare 1,78 miljoner USD i februari. Prissättningsproblem har nu kostat protokollet över 14 miljoner USD på tio månader.
Hela den bredare sektorn visar samma problem. Term Labs förlorade cirka 8,5 miljoner USD på en styrningsattack i söndags. Analytiker säger nu ofta att problem i den ekonomiska utformningen orsakar de största DeFi-förlusterna, inte trasig kod.
Moonwell säger att en ny uppdatering ska komma. Två tal kommer att visa den verkliga skadan. Det första är den slutliga skulden när MAMO-priset är stabilt. Det andra är hur mycket cbBTC och USDC som finns kvar för leverantörer som vill lämna.
