Lending-protocol Moonwell verloor naar schatting $8,7 miljoen door een exploit op donderdag. Er is geen smart contract gehackt. Een aanvaller liet MAMO, een kleine Base-token, veel waardevoller lijken dan het werkelijk is.
Door de kunstmatig hoge prijs kon de aanvaller echte assets lenen, waaronder Coinbase Wrapped Bitcoin (cbBTC) en USD Coin (USDC). Beveiligingsbedrijf Blockaid ontdekte de activiteit en Moonwell zette het lenen binnen enkele uren stil.
Hoe de Moonwell-exploit werkte
De truc ging om de koers, niet om de code. Blockaid meldde dat de aanvaller de prijs van MAMO als onderpand manipuleerde om cbBTC uit Moonwell’s mCBTC-markt te halen. In de eerste inschatting zouden er 50,6 cbBTC weg zijn gehaald, meer dan $4 miljoen waard.
MAMO is de token van Mamo, een rendementstool gebouwd op Base. Alle MAMO-tokens samen zijn ongeveer $7,6 miljoen waard en de token handelt rond $0,011366. Zo’n kleine markt is makkelijk te manipuleren.
Dit was de hele aanval: MAMO op dunne markten omhoog pompen, als onderpand posten tegen een nepprijs en vervolgens assets met echte waarde lenen. De oracle van Moonwell, het systeem dat prijzen doorgeeft aan het protocol, trapte in deze pump.
Beveiligingsbedrijf PeckShield schatte het totale verlies later op $8,7 miljoen. Dat is meer dan de totale marktwaarde van alle MAMO-tokens samen. Volgens het bedrijf staan de gestolen fondsen nu in de DAI stablecoin in een wallet die begint met 0xD71d.
Leencaps verlaagd naar één Wei, herstelvragen nemen toe
Moonwell erkende het incident in een bericht en gaf aan al bezig te zijn om verdere schade te voorkomen.
“We zijn op de hoogte van een probleem dat de MAMO Core Market op Base raakt en onderzoeken dit actief. Uit voorzorg zijn de leencaps voor alle Core Markets op Base op 1 wei gezet, zodat nieuw lenen wordt geblokkeerd en verdere impact wordt beperkt,” schreef het team.
Één wei is het kleinst mogelijke bedrag. Door deze wijziging zijn alle nieuwe leningen geblokkeerd, maar opnames blijven mogelijk. Ook de supply caps voor MAMO en WELL, de governance-token van Moonwell, zijn verlaagd naar één wei.
De exploit van donderdag is niet de eerste keer. Het zijn steeds slechte prijzen, geen slechte code, die Moonwell geld kosten. Een wrsETH-oracle storing veroorzaakte in november 2025 zo’n $3,7 miljoen aan slechte schuld. Een cbETH-oracle fout zorgde in februari voor nog eens $1,78 miljoen verlies. Door prijsproblemen verloor het protocol in tien maanden meer dan $14 miljoen.
Ook de bredere sector toont deze kwetsbaarheid. Term Labs verloor ongeveer $8,5 miljoen door een governance-exploit op zondag. Analisten geven steeds vaker economische ontwerp-fouten de schuld van de grootste verliezen binnen DeFi, in plaats van gebrekkige code.
Moonwell geeft aan dat er een volgende update komt. Twee getallen worden belangrijk: het uiteindelijke slechte schuldbedrag zodra de MAMO-koers is hersteld, en hoeveel cbBTC en USDC er nog over is voor gebruikers die hun assets willen opnemen.
