โปรโตคอลกู้ยืม Moonwell สูญเสียเงินประมาณ 8.7 ล้าน USD จากการถูกโจมตีเมื่อวันพฤหัสบดีที่ผ่านมา โดยไม่พบว่ามี smart contract ใดถูกเจาะ ผู้โจมตีเพียงแค่ทำให้ MAMO ซึ่งเป็นเหรียญเล็กบน Base ดูมีมูลค่ามากกว่าความเป็นจริงเท่านั้น
ราคาที่ถูกปั่นให้สูงขึ้นช่วยให้ผู้โจมตีสามารถยืมสินทรัพย์จริง เช่น Coinbase Wrapped Bitcoin (cbBTC) และ USD Coin (USDC) ได้ บริษัทความปลอดภัย Blockaid จับสังเกตพฤติกรรมดังกล่าวได้ และ Moonwell จึงหยุดการกู้ยืมใหม่ภายในไม่กี่ชั่วโมงถัดมา
กลไกของการโจมตี Moonwell
กลลวงอยู่ที่ราคา ไม่ใช่โค้ด Blockaid รายงานว่าผู้โจมตีได้ควบคุมราคาสินทรัพย์ค้ำประกัน MAMO เพื่อดูด cbBTC ออกจากตลาด mCBTC ของ Moonwell โดยประมาณการครั้งแรกพบว่ามี cbBTC หายไป 50.6 เหรียญ คิดเป็นมูลค่ามากกว่า 4 ล้าน USD
MAMO คือเหรียญของ Mamo ซึ่งเป็นเครื่องมือสร้างผลตอบแทนบน Base ปัจจุบัน MAMO ทั้งหมดมีมูลค่ารวมราว 7.6 ล้าน USD โดยราคาซื้อขายอยู่ที่ประมาณ 0.011366 USD ตลาดที่เล็กขนาดนี้สามารถปั่นราคาได้ง่าย
ทั้งหมดคือแผนการโจมตี โดยปั่นราคา MAMO ในตลาดที่มีสภาพคล่องต่ำ แล้วนำไปวางเป็นหลักประกันในราคาที่ถูกปั่น จากนั้นก็ยืมสินทรัพย์มีมูลค่าจริงออกมา Oracle ของ Moonwell ซึ่งเป็นระบบป้อนข้อมูลราคาสู่โปรโตคอล เชื่อว่าการปั่นราคานี้คือราคาจริง
ภายหลังบริษัท PeckShield ประเมินความเสียหายรวมว่ามากถึง 8.7 ล้าน USD ซึ่งสูงกว่ามูลค่าตลาดรวมของเหรียญ MAMO เอง โดยเงินเหล่านี้ขณะนี้อยู่ในรูปแบบ stablecoin DAI ในกระเป๋าเงินที่ขึ้นต้นด้วย 0xD71d
ตั้งเพดานการกู้ยืมเหลือแค่หนึ่ง Wei ขณะเริ่มตั้งคำถามเรื่องการกู้คืนความเสียหาย
Moonwell รับทราบเหตุการณ์นี้ผ่านโพสต์หนึ่ง โดยระบุว่าทางทีมงานได้ดำเนินการเพื่อป้องกันความเสียหายเพิ่มเติมแล้ว
เราทราบถึงปัญหาที่เกิดกับ MAMO Core Market บน Base และกำลังสืบสวนอย่างเร่งด่วน เพื่อป้องกันเหตุการณ์เพิ่มเติม เราได้ตั้งเพดานกู้ยืมสำหรับ Core Markets ทุกตลาดบน Base อยู่ที่ 1 wei แล้ว ป้องกันการกู้ยืมใหม่และจำกัดผลกระทบที่อาจเกิดขึ้นเพิ่มเติม ทีมงาน เขียนไว้
หนึ่ง wei คื หน่วยเล็กที่สุดสำหรับธุรกรรม การเปลี่ยนแปลงนี้จะปิดกั้นการกู้ยืมใหม่ทั้งหมดโดยไม่กระทบต่อการถอนออก ขีดจำกัดการฝากของ MAMO และ WELL ซึ่งเป็นเหรียญกำกับดูแลของ Moonwell ก็ตกลงมาอยู่ที่หนึ่ง wei ด้วยเช่นกัน
การโจมตีในวันพฤหัสบดีนี้ไม่ใช่ครั้งแรก ราคาที่ผิดพลาด ไม่ใช่โค้ดที่ผิดพลาด ยังคงสร้างความเสียหายให้กับ Moonwell อย่างต่อเนื่อง ออราเคิลของ wrsETH ขัดข้องในเดือนพฤศจิกายน 2025 ทำให้เกิดหนี้เสียประมาณ 3.7 ล้าน USD และออราเคิลของ cbETH ก็เกิด การตั้งค่าผิดพลาดในเดือนกุมภาพันธ์ ซึ่งทำให้มีหนี้เพิ่มอีก 1.78 ล้าน USD ความล้มเหลวด้านการตั้งราคาทำให้โปรโตคอลนี้สูญเสียไปมากกว่า 14 ล้าน USD ภายในสิบเดือน
ภาคส่วนที่กว้างขึ้นก็แสดงให้เห็นถึงจุดอ่อนเดียวกันนี้ โดย Term Labs สูญเสียเงินราว 8.5 ล้าน USD จาก การโจมตีผ่านกลไกการกำกับดูแลเมื่อวันอาทิตย์ นักวิเคราะห์จำนวนมากขึ้นเรื่อยๆ ต่างโทษ ความล้มเหลวในการออกแบบทางเศรษฐศาสตร์มากกว่าโค้ดที่เสียหาย สำหรับการสูญเสียครั้งใหญ่ที่สุดของ DeFi
Moonwell ระบุว่าจะมีการอัปเดตครั้งใหม่อีกครั้ง สองตัวเลขต่อไปนี้จะบอกเรื่องราวที่แท้จริง ตัวแรกคือหนี้เสียสุดท้ายเมื่อราคา MAMO เข้าที่ ตัวที่สองคือจำนวน cbBTC และ USDC ที่เหลือสำหรับซัพพลายเออร์ที่ต้องการถอนตัว
