Atacantes exploram manipulação de preço na Moonwell por quase US$ 9 milhões
- Um atacante manipulou o preço do token MAMO, que possui baixa liquidez, no mercado Base da Moonwell em 27 de agosto de 2026.
- Estimativas iniciais das perdas variam entre aproximadamente $4 milhões e $9 milhões.
- Alguns depósitos dos usuários na Moonwell foram utilizados como garantia para os fundos emprestados, e este incidente marca a terceira falha relacionada a oráculos que atingiu o protocolo desde o final de 2025.
Um atacante manipulou o preço do MAMO no mercado de empréstimos Base da Moonwell na quarta-feira e usou a colateralização inflacionada para emprestar ativos reais que nunca foram reembolsados.
As perdas são estimadas entre US$ 4 milhões e US$ 9 milhões. O ataque drenou cbBTC, USDC, wstETH e ETH da liquidez dos depositantes reais.
Quem atacou a Moonwell?
A Moonwell, um protocolo de empréstimos descentralizado, sofreu seu terceiro incidente de segurança em nove meses.
Um atacante manipulou o preço do token ilíquido MAMO no mercado de empréstimos Base da Moonwell, elevando seu valor cerca de oito vezes, de aproximadamente US$ 0,0105 para quase US$ 0,088, permitindo que eles emprestassem ativos cripto reais como cbBTC, USDC, wstETH e ETH contra uma colateralização inflacionada que nunca foi reembolsada.
A empresa de segurança ExVul afirma que o atacante gastou cerca de US$ 7 milhões na compra de MAMO para forçar o preço para cima, depois vendeu cerca de US$ 3,2 milhões de volta, incorrendo em uma perda de quase US$ 3,8 milhões apenas nas negociações do token.
A perda foi um custo calculado que permitiu ao atacante emprestar cerca de US$ 10 milhões em ativos reais da Moonwell, resultando em um lucro líquido de aproximadamente US$ 6 milhões.
O Blockaid A empresa de segurança sinalizou inicialmente atividade suspeita contra o mercado mCBTC, relatando uma drenagem inicial de 50,6 cbBTC, valendo mais de US$ 4 milhões. A carteira do atacante então moveu a maioria dos fundos roubados, mantendo pouco mais de US$ 4.600 horas depois.
Como a exploração ainda estava em andamento, as estimativas de perdas mudaram em tempo real. A estimativa inicial da Blockaid foi de pouco mais de US$ 4 milhões, o valor mais baixo, enquanto a ExVul colocou a perda em aproximadamente 71.36 cbBTC, valendo cerca de US$ 5.7 milhões. A CertiK disse que o endereço do atacante havia coletado quase US$ 8,7 milhões, enquanto outros relataram que US$ 9 milhões já haviam sido drenados.
Enquanto isso, o token de governança nativo da Moonwell, WELL, inicialmente disparou cerca de 25% mas depois corrigiu para baixo em cerca de 13%, para aproximadamente US$ 0,0032. A empresa tem cerca de US$ 72,77 milhões em valor total bloqueado de acordo com a DeFiLlama, tornando o ataque um golpe significativo tanto para o protocolo quanto para os depositantes.
A equipe da Moonwell agiu rapidamente após o ataque, cortando o limite de empréstimo do mercado MAMO para a menor quantidade possível (1 wei), o que basicamente impede que qualquer pessoa empreste mais contra esse token. Eles também reduziram os limites de fornecimento para MAMO e WELL. O ataque está atualmente sob investigação.
Este é o primeiro problema de segurança da Moonwell?
Antes deste incidente, a Moonwell havia sofrido dois falhas relacionadas a oráculos. A primeira ocorreu em novembro de 2025, quando uma manipulação de preço spot classificada como manipulação de oráculo ocorreu.
Em 15 de fevereiro de 2026, um evento separado de má dívida de US$ 1,78 milhão ocorreu devido a um oráculo cbETH mal configurado que relatou o ativo em cerca de US$ 1,12 em vez de aproximadamente US$ 2.200.
O segundo incidente chamou mais atenção porque as alterações de código relevantes listavam o Claude Opus 4.6 da Anthropic como co-autor do commit, o que gerou um debate sobre a codificação assistida por IA “vibe coding” no DeFi.
As mentes mais inteligentes do setor de criptomoedas já leem nosso boletim informativo. Quer entrar? Junte-se a eles.
Perguntas Frequentes
Como o atacante roubou os fundos da Moonwell?
O atacante manipulou o preço do token MAMO, negociado com pouca liquidez, que, segundo a ExVul, foi elevado cerca de oito vezes, de aproximadamente $0,0105 para $0,088. Em seguida, utilizou o MAMO inflacionado como garantia para empréstimos de cbBTC real, USDC, wstETH e ETH nos mercados Base da Moonwell.
Quanto a Moonwell perdeu na exploração?
As estimativas variaram durante o ataque: a Blockaid observou mais de $4 milhões, a ExVul reportou cerca de $5,7 milhões, a CertiK indicou próximo de $8,7 milhões, a Coin Bureau sinalizou $9 milhões, enquanto o analista CJ Blockchain estimou o lucro líquido do atacante em torno de $6 milhões.
A Moonwell já foi explorada antes?
Sim. O DeFiLlama registrou uma manipulação de preço de spot por oráculo em 4 de novembro de 2025 e um evento de dívida ruim de US$ 1,78 milhão em 15 de fevereiro de 2026, ligado a um oráculo cbETH mal configurado.
Aviso. As informações fornecidas não constituem aconselhamento de negociação. Cryptopolitan.com não assume responsabilidade por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamos fortemente a realização de pesquisa independente e/ou consulta a um profissional qualificado antes de tomar qualquer decisão de investimento.
Hannah Collymore
Hannah é escritora e editora com quase uma década de experiência em redação de blogs e cobertura de eventos no espaço cripto. Na Cryptopolitan, Hannah contribui para a página de notícias, relatando e analisando os últimos desenvolvimentos nos setores DeFi, RWA, regulação cripto, IA e tecnologias de fronteira. Ela se formou na Universidade Arcadia com graduação em Administração de Empresas.
