攻撃者がMoonwellの価格操作脆弱性を突いて約900万ドルを奪う

水曜日、攻撃者はMoonwellのBase lending marketにおけるMAMOの価格を操作し、膨張した担保を使用して実際に返済されないままのリアルアセットを借り取りました。

損失額は約400万ドルから900万ドルの範囲と推定されています。攻撃により、cbBTC、USDC、wstETH、ETHが実際の預け入れ流動性から流出しました。

誰がMoonwellを攻撃したのか？

分散型融資プロトコルであるMoonwellは、9ヶ月間で3回目のセキュリティインシデントに見舞われました。

攻撃者はMoonwellのBase lending marketにおける流動性の低いMAMOトークンの価格を操作し、約0.0105ドルから約0.088ドルへと約8倍に値上げさせ、膨張した担保に対してcbBTC、USDC、wstETH、ETHなどのリアルな暗号資産を借り取り、返済しませんでした。

セキュリティ企業ExVulによると、攻撃者は価格を人為的に引き上げるためにMAMOを購入するのに約700万ドルを費やし、その後約320万ドルを売却し、トークン取引 alone で約380万ドルの損失を被りました。

この損失は、攻撃者がMoonwellから約1,000万ドルのリアルアセットを借り入れることを可能にする計算されたコストであり、純利益は約600万ドルとなりました。

この Blockaid セキュリティ企業は、mCBTC市場に対する不審な活動に最初に警告を発し、価値400万ドルを超える50.6 cbBTCの初期流出を報告しました。その後、攻撃者のウォレットは盗まれた資金の大部分を移動し、数時間後には約4,600ドルしか残していませんでした。

攻撃がまだ進行中だったため、損失の見積もりはリアルタイムで変動しました。Blockaidの初期見積もりは400万ドルをわずかに超える最低額でした。一方、ExVul 損失額を 約71.36 cbBTC、価値にして約5.7百万ドルと見積もりました。CertiK は 攻撃者のアドレスが約870万ドルを収集したと報告し、他の情報源では900万ドルがすでに流出したと報じられました。

同時に、MoonwellのネイティブガバナンストークンであるWELLは、 当初約25%急騰しましたが、その後約13%下落し、約0.0032ドルまで修正されました。同社の総ロック価値（TVL）は約7,277万ドルです DeFiLlamaによると 、この攻撃はプロトコルと預け入れ者双方にとって大きな打撃となりました。Moonwellのチームは攻撃後すぐに行動を起こし、MAMO市場の借入制限を可能な限り最小（1 wei）に引き下げ、これによりそのトークンに対してさらに借り入れることを事実上阻止しました。また、MAMOとWELLの両方の供給制限も引き下げました。攻撃は現在調査中です。

これはMoonwell初のセキュリティ問題でしょうか？

今回のインシデント以前、Moonwellは2つの

オラクル関連の失敗 に見舞われていました。最初のものは2025年11月に発生し、スポット価格の操作として分類されるオラクル操作が行われました。2026年2月15日、cbETHオラクルの誤設定により、資産価格が約2,200ドルではなく約1.12ドルと報告されたため、178万ドルの不良債務イベントが発生しました。

2回目のインシデントは、関連するコード変更のコミット共著者にAnthropicのClaude Opus 4.6が記載されていたため、より多くの注目を集め、DeFiにおけるAI支援による「

バイブコーディング」を巡る議論を巻き起こしました。.