Moonwellは、コードが1行もハッキングされずに870万ドルを失いました

レンディングプロトコルMoonwellは、木曜日に推定870万ドルのエクスプロイトによって資金を失いました。スマートコントラクト自体は破られていません。攻撃者は単純に、Baseチェーン上の小規模トークンMAMOの価格を本来よりもはるかに高く見せかけました。その水増しされた価格により、攻撃者はCoinbase Wrapped Bitcoin（cbBTC）やUSD Coin（USDC）などの実際の資産を借りることができました。セキュリティ企業Blockaidがこの動きを察知し、Moonwellは数時間以内に新規借入を凍結しました。Moonwellエクスプロイトの仕組み仕掛けはコードではなく価格操作でした。Blockaidによると、攻撃者はMAMOの担保価格を操作し、MoonwellのmCBTCマーケットからcbBTCを流出させました。最初の推定では、50.6 cbBTC、金額にして400万ドル以上が失われたとされています。MAMOは、Base上で構築されたイールドツールMamoのトークンです。存在するすべてのMAMOを合わせても総価値は約760万ドルで、1トークンあたりの取引価格は0.011366ドル付近です。これほど規模の小さいマーケットは、価格高騰を起こしやすくなります。MAMOの価格推移。出典：BeInCrypto攻撃の全容はこれだけです。流動性の薄い市場でMAMOを高騰させ、偽の価格で担保として提示し、実際に価値のある資産を借り出す。Moonwellのオラクル（価格情報をプロトコルへ供給するシステム）は、その価格高騰を本物だと認識しました。その後、セキュリティ企業PeckShieldは、最終的な損失額を870万ドルと算出しました。これはすべてのMAMOトークンの時価総額を上回ります。現在、資金は0xD71dで始まるウォレットにおいてDAIステーブルコインに保管されているとされています。復旧策として全マーケットの借入上限が1 weiに引き下げられるMoonwellは、この件について投稿で認めており、すでに損害の拡大防止に取り組んでいることを示しました。「Base上のMAMO Core Marketに影響を及ぼす問題について認識しており、現在も積極的に調査を進めています。予防措置として、Base上のすべてのCore Marketの借入上限を1 weiに設定し、新たな借入を防ぎ、さらなる影響を抑制しています」とチームは説明しています。weiは、取引可能な最小単位です。この変更によって、出金には影響せず、新規ローンのみ完全にブロックされます。MAMOおよびMoonwellのガバナンストークンWELLの供給上限も1 weiに引き下げられました。木曜日のエクスプロイトは初めてではありません。コードではなく価格の誤りが、たびたびMoonwellに損失をもたらしています。2025年11月にはwrsETHオラクルの不具合で約370万ドルの不良債権が発生。2月にもcbETHオラクルの設定ミスで178万ドルが追加されました。価格決定の失敗は、10か月間で総額1,400万ドル超のコストになっています。DeFiセクター全体も同様の脆弱性を抱えています。Term Labsは、日曜日にガバナンス関連のエクスプロイトで約850万ドルを失いました。専門家は、近年、DeFi最大の損失の原因としてコードの脆弱性ではなく、経済設計の欠陥を指摘する声が高まっています。Moonwellは、さらなるアップデートの公表を予告しています。実情を示す2つの重要な数字があります。一つは、MAMO価格が安定した際の最終的な不良債権額。もう一つは、資産を引き出したいサプライヤーにどのくらいcbBTCおよびUSDCが残っているかです。記事全文はBeInCryptoでご覧ください。