Moonwell telah menghentikan pinjaman baru di seluruh Core Markets-nya di Base setelah eksploitasi manipulasi harga agunan MAMO yang jelas-jelas menguras sekitar $8,7 juta dari protokol pinjaman terdesentralisasi tersebut.
Moonwell menyatakan dalam sebuah postingan pada 27 Agustus di X bahwa mereka sedang menyelidiki masalah yang memengaruhi MAMO Core Market dan telah menurunkan batas pinjaman di seluruh Core Markets di Base menjadi 1 wei sebagai tindakan pencegahan, secara efektif mencegah pengguna membuka posisi pinjaman baru selama penyelidikan berlangsung.
“Sebagai tindakan pencegahan, batas pinjaman untuk semua Core Markets di Base telah ditetapkan menjadi 1 wei, mencegah pinjaman baru dan membatasi potensi dampak lebih lanjut,” kata Moonwell.
Batas pasokan untuk MAMO dan WELL juga dikurangi menjadi 1 wei, sementara batas pasokan untuk aset lain dibiarkan tidak berubah, menurut protokol tersebut. Moonwell mengatakan akan memberikan pembaruan lebih lanjut setelah informasi lebih lanjut tersedia.
Perusahaan keamanan blockchain PeckShield dan CertiK secara terpisah memperkirakan bahwa sekitar $8,7 juta telah diambil, sementara Blockaid menelusuri serangan yang jelas tersebut ke manipulasi harga agunan token MAMO.
Menurut CertiK, penyerang memanipulasi nilai agunan MAMO, token yang relatif tidak likuid, sebelum menggunakan agunan yang nilaiinya dinaikkan tersebut untuk meminjam cbBTC asli dari pasar mCBTC Moonwell.
Blockaid mengidentifikasi mekanisme yang sama, awalnya melaporkan bahwa 50,6 cbBTC senilai lebih dari $4 juta telah dikuras saat mereka memantau transaksi. PeckShield kemudian memperkirakan total kerugian sekitar $8,7 juta dan mengatakan penyerang telah mengonsolidasikan hasilnya ke dalam DAI pada satu alamat.
Penggunaan aset yang sedikit diperdagangkan sebagai agunan menjadi inti serangan yang dijelaskan oleh perusahaan keamanan tersebut. Dengan mengubah harga pasar MAMO, penyerang dapat meningkatkan nilai yang ditetapkan pada posisi agunan sebelum meminjam aset dengan likuiditas yang lebih dalam.
MAMO sebelumnya telah mengalami fluktuasi harga yang tajam. Token tersebut jatuh setelah debutnya di Coinbase pada Agustus 2025 setelah naik lebih dari 120% selama minggu sebelumnya. Saat itu, crypto.news melaporkan bahwa MAMO telah mencapai titik tertinggi sepanjang masa sebesar $0,227 sebelum kehilangan hampir 20% karena aktivitas penjualan meningkat.
Tekanan harga kembali terjadi setelah insiden keamanan pada hari Kamis. Token WELL Moonwell turun sekitar 13% selama 24 jam sebelumnya, menurut data CoinGecko yang dikutip dalam laporan awal, sementara MAMO turun sekitar 9% selama periode yang sama, menurut DEX Screener.
Pembatasan yang diberlakukan oleh Moonwell mencakup peminjaman di seluruh Base Core Markets-nya, tidak hanya pasar MAMO tempat masalah tersebut diidentifikasi. Batas pasokan yang ada untuk aset selain MAMO dan WELL tetap tidak berubah sementara tim menyelidiki insiden tersebut.
Insiden hari Kamis ini menyusul masalah keamanan lain di Moonwell selama tahun 2026, termasuk kegagalan penetapan harga yang menyebabkan pasar pinjamannya memiliki sekitar $1,78 juta dalam bentuk utang macet.
Pada bulan Februari, kesalahan perhitungan oracle salah menetapkan harga Coinbase Wrapped ETH, atau cbETH, sekitar $1,12 ketika aset tersebut diperdagangkan mendekati $2.200. Harga yang tidak tepat ini memungkinkan likuidator dan bot otomatis untuk melunasi posisi dengan valuasi yang terdistorsi dan menyita agunan cbETH, menurut pengungkapan protokol yang dikutip oleh crypto.news.
Logika oracle yang cacat tersebut dilaporkan menyertakan kode yang dihasilkan dengan model Claude Opus 4.6 milik Anthropic. Moonwell mengatakan pada saat itu bahwa faktor skala yang salah dalam perhitungan menyebabkan perbedaan besar antara nilai oracle dan harga pasar.
Masalah keamanan Moonwell lainnya muncul pada bulan berikutnya ketika pihak yang tidak dikenal memperoleh token MFAM senilai sekitar $1.800 dan menggunakan kepemilikan tersebut untuk mendorong proposal tata kelola yang berbahaya melalui kuorum pada deployment Moonriver protokol tersebut.
Proposal Maret tersebut mencari kendali atas tujuh pasar pinjaman, pengawas Moonwell, dan oracle-nya melalui kontrak yang dikendalikan penyerang, menempatkan sekitar $1,08 juta aset dalam risiko. Multisig Break Glass Guardian Moonwell menyediakan mekanisme darurat yang mampu menghentikan proposal sebelum eksekusi, sementara suara berikutnya bergerak menentangnya.
Tidak seperti kegagalan penetapan harga pada bulan Februari, perusahaan keamanan yang menilai insiden 27 Agustus telah menggambarkan serangan terbaru ini sebagai manipulasi aktif terhadap harga pasar yang digunakan untuk agunan MAMO. Moonwell belum menerbitkan post-mortem terperinci yang mengidentifikasi kontrak, struktur oracle, atau urutan transaksi yang tepat yang terlibat.
Eksploitasi Moonwell terjadi setelah serangkaian serangan DeFi besar selama kuartal kedua tahun 2026, dengan bulan April menyumbang beberapa kerugian terbesar tahun ini.
CertiK memperingatkan pada bulan April bahwa penyalahgunaan AI dan kelemahan infrastruktur menjadi bagian penting dari risiko keamanan kripto. Perusahaan tersebut mengatakan penyerang menggunakan rekayasa sosial, kerentanan infrastruktur, dan alat otomatis yang lebih canggih, termasuk phishing yang dibantu AI, deepfake, dan teknik eksploitasi.
Pada 18 April, protokol kripto telah kehilangan lebih dari $606 juta di setidaknya 12 insiden selama bulan tersebut, menurut data DefiLlama yang dikutip oleh crypto.news. Total tersebut melebihi kerugian yang tercatat selama seluruh kuartal pertama tahun 2026.
Kelp DAO menyumbang salah satu insiden terbesar setelah penyerang menguras sekitar 116.500 rsETH senilai sekitar $292 juta dari pengaturan lintas-rantainya pada 18 April.
LayerZero kemudian menyatakan bahwa eksploitasi Kelp DAO melibatkan infrastruktur RPC yang disusupi yang digunakan oleh jaringan verifikator terdesentralisasinya dan memengaruhi konfigurasi rsETH DVN tunggal Kelp DAO. Perusahaan tersebut mengatakan bukti awal menunjuk pada TraderTraitor yang terkait dengan Korea Utara, yang dihubungkan dengan Lazarus Group.
Insiden tersebut juga memengaruhi pasar pinjaman yang memegang rsETH. Aave mengalami penarikan besar dan ditinggalkan dengan utang macet yang substansial setelah rsETH curian digunakan sebagai agunan untuk meminjam aset lain, sementara SparkLend dan Fluid membatasi pasar yang terpengaruh.
Pada bulan Juni, Binance Research mengatakan eksploitasi DeFi pada bulan April telah berkontribusi sekitar $13 miliar dalam arus keluar total nilai terkunci (TVL) dari protokol on-chain. Laporan pasar Mei mereka menempatkan TVL DeFi pada $82,7 miliar pada akhir April, turun 10,7% dari bulan sebelumnya, sementara kerugian eksploitasi untuk bulan tersebut berjumlah $635,24 juta.
Moonwell belum mengungkapkan apakah perkiraan $8,7 juta tersebut merupakan kerugian akhirnya dari insiden MAMO Core Market atau apakah ada aset yang terpengaruh dapat dipulihkan. Protokol tersebut mengatakan penyelidikannya tetap aktif dan informasi lebih lanjut akan dirilis ketika tersedia.
