Протокол кредитования Moonwell, работающий на основе нескольких блокчейнов, был взломан из-за некорректных оракулов и данных о ценах. Платформа потеряла около 1 миллиона долларов всего через день после более масштабного взлома Balancer.
Протокол многоцепочечного кредитования Moonwell был взломан из-за некорректных данных оракула. Предполагаемые потери составили всего 1 миллион долларов и произошли на следующий день после более масштабной атаки на Balancer .
BlockSec Phantom обнаружил ряд подозрительных оттоков средств из протокола, что указывает на потенциальную уязвимость trac
ВНИМАНИЕ! Наша система обнаружила серию подозрительных транзакций, нацеленных на смарт-контракты trac DeFi DeFi платформах #Base и #Optimism . Наш анализ указывает на проблему с потоком цены токена (rsETH/ETH) от внесетевого оракула, которая была использована злоумышленниками — возможно, ботом MEV —… pic.twitter.com/cNJFHI3xn3
— BlockSec Phalcon (@Phalcon_xyz) 4 ноября 2025 г.
Злоумышленник использовал уязвимость в ценообразовании для заимствования и торговли определенными типами обернутого ETH. Эксплойт основывался на разнице в цене заимствования 20 wstETH против всего лишь 0,00002 wrstETH. Хакер присваивал разницу при торговле, получив в общей сложности 295 ETH прибыли.
Низкий уровень залога обеспечил немедленные транзакции wstETH, а погашение кредита произошло в том же блоке. Некорректная цена была предоставлена внесетевым оракулом.
Хакер смог использоватьtracконтракта, поскольку оракул выдал цену в 5,8 млн долларов за wrstETH. Судя по данным транзакций, Moonwell использовал ChainLink, который, по всей видимости, допустил ошибку в ценообразовании.
Хакеру достаточно было воспользоваться выгодными условиями для мгновенного займа и повторить это несколько раз, чтобы завершить эксплуатацию уязвимости. Эта уязвимость поднимает более серьезную проблему надежности оракулов, даже со стороны лидера рынка ChainLink.
«Мунвелл» – четвертое значительное достижение
Moonwell — это относительно старый протокол DeFi , распространённый на нескольких блокчейнах. По состоянию на ноябрь 2025 года в хранилищах для кредитования протокола находилось 213 миллионов долларов. Moonwell использует сети Base, Optimism, Moonbeam и Moonriver.
Протокол уже подвергался атакам, за последние три года было совершено четыре взлома. Moonwell — это форк Compound V2, унаследовавший некоторые проблемы протокола.
Ранее, 10 октября, Moonwell столкнулась сdent с невозвратным кредитом, потеряв 1,7 млн долларов. В декабре 2024 года протокол подвергся еще одной атаке с использованием мгновенного кредита на сумму 320 тыс. долларов. В 2022 году Moonwell понесла убытки из-за уязвимости моста, которая затронула протокол.
Токен WELL выходит из строя после использования уязвимости
После обнаружения уязвимости собственный токен Moonwell, WELL, резко упал в цене. WELL потерял более 15% своей стоимости, снизившись до $0,011. Как и в случае с другими взломами, потери от подорванной репутации и обвала токенов оказались даже больше, чем последствия самой уязвимости.
Эта уязвимость нанесла ущерб репутации Moonwell, вызвав массовый отток средств из хранилищ стейблкоинов. Пользователи выводили свои USDC, что привело к резкому росту эффективной годовой доходности (APY) до 168%. Отток средств из хранилищ Moonwell последовал за выводом средств из Balancer в понедельник.
dent не комментировала взлом . Нынешняя уязвимость считается похожей на ту, что произошла 10 октября, что означает, что протокол не внедрил исправление. Данные блокчейна показывают, что могла произойти аналогичная атака, в результате которой было похищено 269 ETH из-за некорректного ценообразования, но ни команда, ни исследователи не заметили вывода средств в тот момент.
Компания Moonwell утверждает, что прошла несколько проверок безопасности, но это не предотвратило дальнейший взлом. Несмотря на меньшее количество атак на протоколы Web3, последние события показывают, что экосистема Ethereum может представлять риски при обеспечении безопасности больших объемов транзакций и получении большей прибыли.
