Les attaquants ont touché Moonwell pour près de 9 M$ dans une exploitation de manipulation de prix
- Un attaquant a manipulé le prix du token MAMO, peu liquide, sur le marché Base de Moonwell le 27 août 2026.
- Les premières estimations des pertes s'élèvent entre environ 4 millions et 9 millions de dollars.
- Certains dépôts réels de déposants Moonwell ont garanti les fonds empruntés, et cet incident marque la troisième défaillance liée à un oracle ayant touché le protocole depuis fin 2025.
Un attaquant a manipulé le prix de MAMO sur le marché de prêt Base de Moonwell mercredi et a utilisé la collateralisation gonflée pour emprunter de vrais actifs qu'il n'a jamais remboursés.
Les pertes sont estimées entre environ 4 millions et 9 millions de dollars. L'attaque a drainé cbBTC, USDC, wstETH et ETH de la liquidité des déposants réels.
Qui a attaqué Moonwell ?
Moonwell, un protocole de prêt décentralisé, a subi son troisième incident de sécurité en neuf mois.
Un attaquant a manipulé le prix du token illiquide MAMO sur le marché de prêt Base de Moonwell, faisant monter sa valeur d'environ huit fois, passant d'environ 0,0105 $ à près de 0,088 $, leur permettant d'emprunter de vrais actifs cryptographiques comme cbBTC, USDC, wstETH et ETH contre une collateralisation gonflée qui n'a jamais été remboursée.
La firme de sécurité ExVul indique que l'attaquant a dépensé environ 7 millions de dollars pour acheter du MAMO afin de faire monter le prix, puis a revendu environ 3,2 millions de dollars de celui-ci, subissant une perte de près de 3,8 millions de dollars sur les seuls trades de tokens.
Cette perte était un coût calculé qui a permis à l'attaquant d'emprunter environ 10 millions de dollars en vrais actifs auprès de Moonwell, laissant un butin net d'environ 6 millions de dollars.
Le Blockaid La firme de sécurité a d'abord signalé une activité suspecte sur le marché mCBTC, rapportant un drain initial de 50,6 cbBTC, valant plus de 4 millions de dollars. Le portefeuille de l'attaquant a ensuite déplacé la plupart des fonds volés, ne conservant que quelque peu plus de 4 600 dollars quelques heures plus tard.
Comme l'exploitation était encore en cours, les estimations des pertes ont évolué en temps réel. La première estimation de Blockaid était de quelque peu plus de 4 millions de dollars, le chiffre le plus bas, tandis qu'ExVul a estimé la perte à environ 71.36 cbBTC, valant environ 5.7 millions de dollars. CertiK a déclaré que l'adresse de l'attaquant avait collecté près de 8,7 millions de dollars, tandis que d'autres ont rapporté que 9 millions de dollars avaient déjà été drainés.
Pendant ce temps, le token de gouvernance natif de Moonwell, WELL, a initialement bondi d'environ 25% mais s'est ensuite corrigé à la baisse d'environ 13 % pour atteindre autour de 0,0032 $. La société détient environ 72,77 millions de dollars de valeur totale bloquée selon DeFiLlama, ce qui fait de l'attaque un coup significatif pour le protocole et les déposants.
L'équipe de Moonwell a agi rapidement après l'attaque, réduisant la limite d'emprunt du marché MAMO au montant minimum possible (1 wei), ce qui empêche essentiellement quiconque d'emprunter davantage contre ce token. Ils ont également réduit les limites d'approvisionnement pour MAMO et WELL. L'attaque est actuellement sous enquête.
S'agit-il du premier problème de sécurité de Moonwell ?
Avant cet incident, Moonwell avait subi deux pannes liées aux oracles. La première s'est produite en novembre 2025, lorsqu'une manipulation des prix spot, classée comme manipulation d'oracle, a eu lieu.
Le 15 février 2026, un événement distinct de dette irrécouvrable de 1,78 million de dollars s'est produit en raison d'un oracle cbETH mal configuré qui indiquait l'actif à environ 1,12 $ au lieu d'environ 2 200 $.
Le deuxième incident a attiré plus d'attention car les modifications de code pertinentes listaient Claude Opus 4.6 d'Anthropic comme co-auteur de commit, ce qui a suscité un débat sur le «vibe coding » assisté par IA dans la DeFi.
Si vous lisez ceci, vous êtes déjà en avance. Restez ainsi grâce à notre newsletter.
FAQ
Comment l'attaquant de Moonwell a-t-il volé les fonds ?
L'attaquant a manipulé le prix du token MAMO, très peu échangé, qui, selon ExVul, a été multiplié par huit, passant d'environ 0,0105 $ à 0,088 $, puis a utilisé le MAMO gonflé comme garantie pour emprunter du cbBTC réel, de l'USDC, du wstETH et de l'ETH sur les marchés Base de Moonwell.
Quel montant Moonwell a-t-il perdu dans cet exploit ?
Les estimations ont varié au fil de l'attaque : Blockaid a observé plus de 4 millions de dollars, ExVul a rapporté environ 5,7 millions de dollars, CertiK a indiqué près de 8,7 millions de dollars, Coin Bureau a signalé 9 millions de dollars, tandis que l'analyste CJ Blockchain a estimé le bénéfice net de l'attaquant à environ 6 millions de dollars.
Moonwell a-t-il déjà fait l'objet d'une exploitation ?
Oui. DeFiLlama enregistre une manipulation du prix spot d'un oracle le 4 novembre 2025, ainsi qu'un événement de dette irrécouvrable de 1,78 million de dollars le 15 février 2026, lié à un oracle cbETH mal configuré.
Avertissement. Les informations fournies ne constituent pas des conseils en matière de trading. Cryptopolitan.com décline toute responsabilité concernant les investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement une recherche indépendante et/ou une consultation avec un professionnel qualifié avant de prendre toute décision d'investissement.
Hannah Collymore
Hannah est rédactrice et éditrice avec près de dix ans d'expérience dans la rédaction de blogs et le reporting d'événements dans l'espace crypto. Chez Cryptopolitan, Hannah contribue à la page actualités, en rapportant et en analysant les derniers développements dans les secteurs de la DeFi, des RWA, de la régulation des crypto-monnaies, de l'IA et des technologies de pointe. Elle est diplômée de l'Université Arcadia avec un diplôme en administration des affaires.
