Moonwell Kehilangan $8,7 Juta Tanpa Satu Baris Kode pun yang Diretas

Protokol peminjaman Moonwell kehilangan sekitar $8,7 juta akibat eksploitasi pada hari Kamis. Tidak ada smart contract yang diretas. Penyerang hanya membuat MAMO, sebuah token kecil di Base, tampak jauh lebih berharga daripada nilai aslinya. Harga yang dinaikkan secara artifisial memungkinkan penyerang meminjam aset sungguhan, termasuk Coinbase Wrapped Bitcoin (cbBTC) dan USD Coin (USDC). Firma keamanan Blockaid mendeteksi aktivitas tersebut, dan Moonwell membekukan peminjaman baru dalam beberapa jam.

Cara Kerja Eksploitasi Moonwell

Triknya ada pada harga, bukan pada kode. Blockaid melaporkan bahwa penyerang memanipulasi harga agunan MAMO untuk menguras cbBTC dari pasar mCBTC Moonwell. Estimasi pertama menunjukkan 50,6 cbBTC hilang, senilai lebih dari $4 juta.

MAMO adalah token dari Mamo, alat yield yang dibangun di Base. Seluruh MAMO yang beredar bernilai gabungan sekitar $7,6 juta, dan token tersebut diperdagangkan di kisaran $0,011366. Pasar sekecil itu sangat mudah untuk dipompa.

Kinerja Harga MAMO. Sumber: BeInCrypto

Itulah seluruh serangan tersebut. Pompa harga MAMO di pasar tipis, gunakan sebagai agunan pada harga palsu, dan pinjam aset yang benar-benar punya nilai. Oracle Moonwell, sistem yang memberikan data harga ke protokol, mempercayai inflasi harga tersebut.

Firma keamanan PeckShield kemudian memperkirakan total kerugian sebesar $8,7 juta. Jumlah ini bahkan melebihi nilai pasar dari seluruh token MAMO. Perusahaan tersebut mengatakan bahwa dana kini berada dalam stablecoin DAI di dompet yang dimulai dengan 0xD71d.

Batas Peminjaman Dipotong ke Satu Wei Saat Pertanyaan Pemulihan Muncul

Moonwell mengakui insiden ini dalam sebuah unggahan, menandakan bahwa mereka sudah bekerja untuk menghentikan kerugian.

Kami menyadari adanya permasalahan yang mempengaruhi MAMO Core Market di Base dan sedang melakukan investigasi secara aktif. Sebagai langkah pencegahan, batas peminjaman untuk seluruh Core Market di Base telah disetel ke 1 wei, mencegah peminjaman baru dan membatasi potensi dampak lanjutan, tulis tim tersebut.

Satu wei adalah satuan terkecil yang mungkin. Perubahan ini memblokir semua pinjaman baru tanpa memengaruhi penarikan. Batas pasok untuk MAMO dan WELL, token tata kelola Moonwell, juga diturunkan menjadi satu wei.

Eksploitasi hari Kamis ini bukan yang pertama. Harga yang buruk, bukan kode yang buruk, terus membuat Moonwell mengalami kerugian. Kerusakan oracle wrsETH menciptakan utang buruk sekitar $3,7 juta pada November 2025. Salah konfigurasi oracle cbETH menambahkan $1,78 juta lagi pada Februari. Kegagalan harga kini telah merugikan protokol lebih dari $14 juta dalam sepuluh bulan terakhir.

Sektor yang lebih luas menunjukan kelemahan yang sama. Term Labs kehilangan sekitar $8,5 juta karena eksploitasi tata kelola pada hari Minggu. Analis makin sering menyalahkan kegagalan desain ekonomi alih-alih kode yang rusak sebagai penyebab terbesar kerugian di DeFi.

Moonwell menyatakan pembaruan lanjutan akan segera datang. Dua angka akan mengungkap kisah sebenarnya. Pertama adalah total utang buruk akhir setelah harga MAMO menurun. Kedua adalah berapa banyak cbBTC dan USDC yang tersisa untuk pemasok yang ingin keluar.

Baca artikelnya di BeInCrypto