4 ноября 2025 года децентрализованный кредитный протокол Moonwell стал жертвой эксплуатации уязвимости, в результате которой было похищено около $1 млн. Атака произошла на слоях Base и Optimism и была связана с манипуляцией ценовых данных оракула Chainlink для пары rsETH/ETH.
Согласно данным компании CertiK, злоумышленник использовал флеш-кредиты, чтобы воспользоваться ошибкой в офчейн-оракуле, который некорректно отображал цену токена wrstETH — рестейкированной версии stETH от Lido. Вместо реальной стоимости, оракул показал цену свыше $5,8 млн за токен, тогда как базовая цена ETH не превышала $3500. Это позволило атакующему, вероятно, MEV-боту, искусственно завысить стоимость залога в размере всего 0,02 wrstETH до $116 000 и получить крупный кредит в 20 wstETH, истощив резервы протокола.
Повторяя эту схему в нескольких транзакциях, злоумышленник вывел в общей сложности 295 ETH (эквивалент $1 млн). Это уже не первый инцидент с Moonwell: в декабре 2024 года протокол потерял $320 000 из-за флеш-кредитной атаки, а в октябре 2024 года — свыше $1,7 млн на Base. Несмотря на то, что текущая атака не связана с прямым взломом кода, а обусловлена манипуляцией цен, активы под управлением Moonwell сократились с пиковых $400 млн до текущих $234 млн.
Курс токена WELL после новости о взломе рухнул до минимумов 2025 года, потеряв более 96% от исторических максимумов. Эксперты, включая BlockSec, указывают на системные проблемы в настройках оракулов, таких как устаревшие интервалы обновления данных, что подчеркивает уязвимость DeFi-экосистем к подобным атакам.
SOL
BTC
ETH