Los atacantes afectaron a Moonwell con un exploit de manipulación de precios por casi $9M
- Un atacante manipuló el precio del token MAMO, poco líquido, en el mercado Base de Moonwell el 27 de agosto de 2026.
- Las primeras estimaciones de la pérdida oscilan entre aproximadamente 4 millones y 9 millones de dólares.
- Algunos depositantes de Moonwell respaldaron los fondos prestados con sus activos reales, y este incidente marca el tercer fallo relacionado con oráculos que afecta al protocolo desde finales de 2025.
Un atacante manipuló el precio de MAMO en el mercado de préstamos de Base de Moonwell el miércoles y utilizó la colateral inflada para prestar activos reales que nunca devolvió.
Se estima que las pérdidas oscilan entre $4 millones y $9 millones. El ataque drenó cbBTC, USDC, wstETH y ETH de la liquidez de los depositantes reales.
¿Quién atacó a Moonwell?
Moonwell, un protocolo de préstamos descentralizado, ha sufrido su tercer incidente de seguridad en nueve meses.
Un atacante manipuló el precio del token ilíquido MAMO en el mercado de préstamos de Base de Moonwell, elevando su valor aproximadamente ocho veces, de alrededor de $0.0105 a casi $0.088, lo que les permitió prestar activos cripto reales como cbBTC, USDC, wstETH y ETH contra una colateral inflada que nunca fue devuelta.
La firma de seguridad ExVul dice que el atacante gastó aproximadamente $7 millones en comprar MAMO para forzar el alza del precio, luego vendió aproximadamente $3.2 millones de vuelta, incurriendo en una pérdida de cerca de $3.8 millones solo en los intercambios de tokens.
La pérdida fue un costo calculado que permitió al atacante prestar alrededor de $10 millones en activos reales de Moonwell, dejando una ganancia neta de aproximadamente $6 millones.
El Blockaid la firma de seguridad primero detectó actividad sospechosa contra el mercado mCBTC, reportando un drenaje inicial de 50.6 cbBTC, valorado en más de $4 millones. La billetera del atacante luego movió la mayor parte de los fondos robados, conservando poco más de $4,600 horas después.
Dado que el exploit aún se estaba desarrollando, las estimaciones de pérdidas cambiaron en tiempo real. La estimación inicial de Blockaid fue de poco más de $4 millones, la cifra más baja, mientras que ExVul ubicó la pérdida en aproximadamente 71.36 cbBTC, valorada en unos $5.7 millones. CertiK dijo que la dirección del atacante había acumulado cerca de $8.7 millones, mientras que otros reportaron que ya se habían drenado $9 millones.
Mientras tanto, el token de gobernanza nativo de Moonwell, WELL, inicialmente se disparó aproximadamente 25% pero luego corrigió a la baja aproximadamente un 13% hasta alrededor de $0.0032. La compañía tiene aproximadamente $72.77 millones en valor total bloqueado según DeFiLlama, lo que convierte el ataque en un golpe significativo tanto para el protocolo como para los depositantes.
El equipo de Moonwell actuó rápidamente después del ataque, reduciendo el límite de préstamos del mercado MAMO a la cantidad más pequeña posible (1 wei), lo que básicamente impide que cualquiera preste más contra ese token. También redujeron los límites de suministro tanto para MAMO como para WELL. El ataque está actualmente bajo investigación.
¿Es este el primer problema de seguridad de Moonwell?
Antes de este incidente, Moonwell había sufrido dos fallos relacionados con oráculos. El primero ocurrió en noviembre de 2025, cuando se produjo una manipulación del precio spot clasificada como manipulación de oráculo.
El 15 de febrero de 2026, ocurrió un evento separado de deuda mala por $1.78 millones debido a un oráculo cbETH mal configurado que reportó el activo en aproximadamente $1.12 en lugar de aproximadamente $2,200.
El segundo incidente llamó más la atención porque los cambios de código relevantes listaban a Claude Opus 4.6 de Anthropic como co-autor del commit, lo que provocó un debate sobre la "programación por vibes" asistida por IA en DeFi.
Las mentes más inteligentes del mundo cripto ya leen nuestro boletín. ¿Quieres unirte? Únete a ellos.
Preguntas frecuentes
¿Cómo robó los fondos el atacante de Moonwell?
El atacante manipuló el precio del token MAMO, de escasa liquidez, que ExVul indicó se disparó aproximadamente ocho veces, pasando de unos 0,0105 dólares a 0,088 dólares; luego utilizó el MAMO sobrevaluado como garantía para solicitar préstamos de cbBTC real, USDC, wstETH y ETH en los mercados Base de Moonwell.
¿Cuánto perdió Moonwell en el exploit?
Las estimaciones variaron mientras ocurría el ataque: Blockaid observó más de 4 millones de dólares, ExVul reportó unos 5,7 millones, CertiK señaló cerca de 8,7 millones, Coin Bureau alertó sobre 9 millones, y el analista CJ Blockchain estimó que el beneficio neto del atacante fue de aproximadamente 6 millones de dólares.
¿Moonwell ha sido explotado antes?
Sí. DeFiLlama registra una manipulación del precio de referencia de un oráculo el 4 de noviembre de 2025 y un evento de deuda incobrable de 1,78 millones de dólares el 15 de febrero de 2026 vinculado a un oráculo cbETH mal configurado.
Descargo de responsabilidad. La información proporcionada no constituye asesoramiento financiero. Cryptopolitan.com no asume ninguna responsabilidad por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente realizar una investigación independiente y/o consultar con un profesional calificado antes de tomar cualquier decisión de inversión.
Hannah Collymore
Hannah es escritora y editora con casi una década de experiencia en la redacción de blogs y la cobertura de eventos en el ámbito de las criptomonedas. En Cryptopolitan, Hannah contribuye a la página de noticias, informando y analizando los últimos avances en DeFi, RWA, regulación de criptomonedas, inteligencia artificial y tecnologías de vanguardia. Se graduó de la Universidad de Arcadia con una licenciatura en Administración de Empresas.
