Gli attaccanti hanno colpito Moonwell per quasi 9 milioni di dollari con un exploit di manipolazione del prezzo
- Un attaccante ha manipolato il prezzo del token MAMO, poco liquido, sul mercato Base di Moonwell il 27 agosto 2026.
- Le prime stime delle perdite variano da circa 4 milioni a 9 milioni di dollari.
- Alcuni depositanti di Moonwell avevano garantito i fondi presi in prestito con asset reali; questo incidente segna il terzo fallimento legato agli oracle che ha colpito il protocollo dalla fine del 2025.
Un attaccante ha manipolato il prezzo di MAMO sul mercato di prestito Base di Moonwell mercoledì e ha utilizzato la garanzia gonfiata per prendere in prestito veri asset che non ha mai rimborsato.
Le perdite sono stimate tra circa 4 milioni e 9 milioni di dollari. L'attacco ha drenato cbBTC, USDC, wstETH ed ETH dalla liquidità dei veri depositanti.
Chi ha attaccato Moonwell?
Moonwell, un protocollo di prestito decentralizzato, ha subito il suo terzo incidente di sicurezza in nove mesi.
Un attaccante ha manipolato il prezzo del token illiquido MAMO sul mercato di prestito Base di Moonwell, facendone salire il valore di circa otto volte da circa 0,0105 $ a quasi 0,088 $, permettendo loro di prendere in prestito veri asset crittografici come cbBTC, USDC, wstETH ed ETH contro una garanzia gonfiata che non è mai stata rimborsata.
La società di sicurezza ExVul afferma che l'attaccante ha speso circa 7 milioni di dollari per acquistare MAMO per forzare il prezzo verso l'alto, per poi rivendere circa 3,2 milioni di dollari, subendo una perdita di quasi 3,8 milioni di dollari solo sui trade del token.
La perdita è stata un costo calcolato che ha permesso all'attaccante di prendere in prestito circa 10 milioni di dollari in veri asset da Moonwell, lasciando un profitto netto di circa 6 milioni di dollari.
Il Blockaid la società di sicurezza ha segnalato per prima attività sospette contro il mercato mCBTC, segnalando un drenaggio iniziale di 50,6 cbBTC, del valore di oltre 4 milioni di dollari. Il wallet dell'attaccante ha poi spostato la maggior parte dei fondi rubati, trattenendo poco più di 4.600 dollari ore dopo.
Poiché l'exploit era ancora in corso, le stime delle perdite sono cambiate in tempo reale. La stima iniziale di Blockaid era di poco più di 4 milioni di dollari, la cifra più bassa, mentre ExVul ha stimato la perdita a circa 71.36 cbBTC, del valore di circa 5.7 milioni di dollari. CertiK ha detto che l'indirizzo dell'attaccante aveva raccolto quasi 8,7 milioni di dollari, mentre altri hanno segnalato che 9 milioni di dollari erano già stati drenati.
Nel frattempo, il token di governance nativo di Moonwell, WELL, inizialmente è salito di circa 25% ma in seguito si è corretto al ribasso di circa il 13% portandosi a circa 0,0032 $. L'azienda ha circa 72,77 milioni di dollari di valore totale bloccato secondo DeFiLlama, rendendo l'attacco un colpo significativo sia per il protocollo che per i depositanti.
Il team di Moonwell ha agito rapidamente dopo l'attacco, tagliando il limite di prestito del mercato MAMO alla quantità minima possibile (1 wei), il che sostanzialmente impedisce a chiunque di prendere in prestito altro contro quel token. Hanno anche abbassato i limiti di fornitura per MAMO e WELL. L'attacco è attualmente sotto indagine.
È questo il primo problema di sicurezza di Moonwell?
Prima di questo incidente, Moonwell aveva subito due guasti legati agli oracle. Il primo si è verificato nel novembre 2025, quando si è verificata una manipolazione del prezzo spot classificata come manipolazione dell'oracle.
Il 15 febbraio 2026, si è verificato un evento separato di cattivo debito per 1,78 milioni di dollari a causa di un oracle cbETH mal configurato che riportava l'asset a circa 1,12 $ invece di circa 2.200 $.
Il secondo incidente ha attirato più attenzione perché le modifiche al codice rilevanti elencavano Claude Opus 4.6 di Anthropic come co-autore del commit e questo ha innescato un dibattito sull'vibe coding assistito dall'IA nel DeFi.
I cervelli più intelligenti del crypto leggono già la nostra newsletter. Vuoi unirti a loro? Unisciti a loro.
Domande frequenti
Come ha fatto l'attaccante di Moonwell a rubare i fondi?
L'attaccante ha manipolato il prezzo del token MAMO, scambiato con scarsa liquidità, che ExVul ha indicato essere stato spinto verso l'alto di circa otto volte, da circa 0,0105 $ a 0,088 $, per poi utilizzare il MAMO gonfiato come garanzia e prendere in prestito cbBTC reale, USDC, wstETH ed ETH dai mercati Base di Moonwell.
Quanto ha perso Moonwell nell'exploit?
Le stime sono variate mentre l'attacco era in corso: Blockaid ha rilevato oltre 4 milioni di dollari, ExVul ha segnalato circa 5,7 milioni, CertiK ha parlato di quasi 8,7 milioni, Coin Bureau ha indicato 9 milioni, mentre l'analista CJ Blockchain ha stimato il profitto netto dell'attaccante intorno ai 6 milioni di dollari.
Moonwell è già stato sfruttato in passato?
Sì. DeFiLlama registra una manipolazione del prezzo spot di un oracle il 4 novembre 2025 e un evento di cattivo debito da 1,78 milioni di dollari il 15 febbraio 2026 legato a un cbETH oracle mal configurato.
Disclaimer. Le informazioni fornite non costituiscono consulenza finanziaria. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti basati sulle informazioni presenti in questa pagina. Si raccomanda vivamente di effettuare ricerche autonome e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Hannah Collymore
Hannah è una scrittrice e redattrice con quasi un decennio di esperienza nella scrittura di blog e nella copertura di eventi nel settore delle criptovalute. Presso Cryptopolitan, Hannah contribuisce alla pagina delle notizie, riportando e analizzando gli ultimi sviluppi nei settori DeFi, RWA, regolamentazione crypto, intelligenza artificiale e tecnologie emergenti. Si è laureata all'Arcadia University con una laurea in Amministrazione Aziendale.
