लेंडिंग प्रोटोकॉल Moonwell में गुरुवार को एक एक्सप्लॉइट के कारण लगभग $8.7 मिलियन का नुकसान हुआ। यहाँ कोई स्मार्ट कॉन्ट्रैक्ट नहीं टूटा था। एक हमलावर ने बस MAMO, जो कि एक छोटा Base टोकन है, को उसकी असली कीमत से कहीं ज्यादा वैल्यूबल दिखा दिया।
बढ़ी हुई प्राइस की वजह से हमलावर ने रियल एसेट्स जैसे Coinbase Wrapped Bitcoin (cbBTC) और USD Coin (USDC) उधार लिए। सिक्योरिटी कंपनी Blockaid ने ये एक्टिविटी पकड़ ली, और Moonwell ने कुछ ही घंटों में नया उधार देना रोक दिया।
Moonwell एक्सप्लॉइट कैसे हुआ?
यहां ट्रिक कोड में नहीं बल्कि प्राइस में थी। Blockaid ने बताया कि हमलावर ने MAMO का कोलेटरल प्राइस मैनिपुलेट किया जिससे Moonwell के mCBTC मार्केट से cbBTC निकाल लिए गए। उनकी पहली एस्टिमेट के मुताबिक 50.6 cbBTC गायब हुए, जिसकी कीमत $4 मिलियन से भी ज्यादा थी।
MAMO, Mamo का टोकन है, जो Base पर बना एक यील्ड टूल है। अभी मार्केट में जितने भी MAMO हैं, उनकी कुल वैल्यू लगभग $7.6 मिलियन है, और टोकन की ट्रेडिंग कीमत करीब $0.011366 है। इतनी छोटी मार्केट को पंप करना सस्ता पड़ता है।
यही पूरा हमला था। MAMO को पतली मार्केट में पंप करो, उसे फर्जी प्राइस पर कोलेटरल के तौर पर पोस्ट करो, और रियल वैल्यू वाली एसेट्स उधार ले लो। Moonwell का ओरैकल, जो प्रोटोकॉल को प्राइस देता है, इस प्राइस पंप को असली मान बैठा।
सिक्योरिटी फर्म PeckShield ने बाद में कुल नुकसान $8.7 मिलियन बताया। यह MAMO टोकन की कुल मार्केट वैल्यू से भी ज्यादा है। कंपनी ने कहा कि अब ये फंड DAI stablecoin में एक वॉलेट में हैं, जिसका एड्रेस 0xD71d से शुरू होता है।
रिकवरी को लेकर सवाल, बॉरो कैप्स घटाकर सिर्फ एक Wei तक किए गए
Moonwell ने एक पोस्ट में इस घटना को स्वीकारते हुए बताया कि वे पहले ही इस नुकसान को रोकने के लिए काम कर रहे हैं।
“हमें MAMO Core Market पर आने वाली एक दिक्कत के बारे में जानकारी है और हम इसकी एक्टिव जांच कर रहे हैं। एहतियातन, Base पर सभी Core Markets के लिए बॉरो कैप्स को 1 wei तक घटा दिया गया है, जिससे नया उधार blocked है और आगे नुकसान की संभावना कम हो गई है,” टीम ने लिखा।
एक wei सबसे छोटी यूनिट होती है। इस बदलाव से सभी नए लोन बंद हो गए हैं, लेकिन withdrawals पर कोई असर नहीं पड़ा। MAMO और Moonwell के गवर्नेंस टोकन WELL के लिए भी सप्लाई कैप्स घटाकर 1 wei कर दी गई हैं।
गुरुवार का एक्सप्लॉइट पहली बार नहीं है। खराब कोड नहीं, बल्कि खराब प्राइस, Moonwell को बार-बार नुकसान पहुँचा रहे हैं। नवंबर 2025 में wrsETH ओरैकल मलफंक्शन के चलते लगभग $3.7 मिलियन का खराब कर्ज बन गया था। फरवरी में cbETH ओरैकल गलत कॉन्फ़िगरेशन से और $1.78 मिलियन जोड़ गए। पिछले दस महीनों में प्राइस फेल्योर की वजह से प्रोटोकॉल को $14 मिलियन से ज्यादा का नुकसान हो चुका है।
पूरा सेक्टर भी ऐसी ही कमजोरी दिखा रहा है। Term Labs को रविवार को एक गवर्नेंस एक्सप्लॉइट से करीब $8.5 मिलियन का नुकसान हुआ। एनालिस्ट्स अब DeFi के बड़े नुकसान का जिम्मेदार इकोनॉमिक डिजाइन फेल्योर को मान रहे हैं, न कि सिर्फ खराब कोड को।
Moonwell ने कहा है कि एक और अपडेट जल्द आने वाला है। असली Story दो नंबर बताएंगे। पहला है – फाइनल खराब कर्ज जब MAMO का प्राइस सेट हो जाएगा। दूसरा – cbBTC और USDC में से कितनी राशि suppliers के लिए बचती है, जो बाहर निकलना चाहते हैं।
