Giao thức lending Moonwell đã bị tấn công, mất khoảng 8.7 triệu USD vào ngày thứ Năm vừa qua. Không có smart contract nào bị phá vỡ. Kẻ tấn công chỉ đơn giản là khiến token MAMO, một token nhỏ trên Base, trông có giá trị cao hơn thực tế rất nhiều.
Nhờ giá MAMO bị đẩy lên cao, kẻ tấn công đã vay được các tài sản thực, bao gồm Coinbase Wrapped Bitcoin (cbBTC) và USD Coin (USDC). Công ty bảo mật Blockaid đã phát hiện ra hoạt động bất thường này, và Moonwell đã kịp thời đóng băng các khoản vay mới chỉ trong vài giờ.
Cách kẻ tấn công lợi dụng lỗ hổng Moonwell
Chiêu trò nằm ở giá, không phải ở mã nguồn. Theo Blockaid, kẻ tấn công đã thao túng giá trị tài sản thế chấp của MAMO để rút cbBTC khỏi thị trường mCBTC của Moonwell. Ước tính ban đầu cho thấy đã có 50.6 cbBTC bị rút hết, trị giá hơn 4 triệu USD.
MAMO là token thuộc dự án Mamo, một công cụ yield hoạt động trên Base. Tổng giá trị toàn bộ MAMO chỉ vào khoảng 7.6 triệu USD, và token này được giao dịch quanh mức 0.011366 USD. Với quy mô thị trường nhỏ như vậy thì việc đẩy giá không khó.
Toàn bộ vụ tấn công chỉ có vậy. Đẩy giá MAMO ở thị trường có thanh khoản thấp, dùng nó để thế chấp ở mức giá ảo, rồi vay các tài sản có giá trị thực. Hệ thống oracle của Moonwell – nơi cung cấp giá cho giao thức – đã tin vào mức giá bị thao túng đó.
Sau đó, công ty bảo mật PeckShield ước tính tổng thiệt hại lên đến 8.7 triệu USD. Con số này còn lớn hơn cả tổng giá trị thị trường của tất cả các MAMO token hiện có. PeckShield cho biết số tiền này hiện đang nằm ở stablecoin DAI tại ví bắt đầu bằng 0xD71d.
Giới hạn vay hạ xuống một wei trong khi các câu hỏi về phục hồi được đặt ra
Moonwell đã xác nhận vụ việc trong một bài đăng, cho biết họ đang tích cực xử lý để giảm thiểu rủi ro thêm.
“Chúng tôi đã ghi nhận vấn đề ảnh hưởng đến MAMO Core Market trên Base và đang điều tra sớm nhất có thể. Để phòng ngừa, giới hạn vay của tất cả các Core Market trên Base đã được giảm về mức 1 wei, nhằm ngăn ngừa việc vay mới và giảm thiểu tác động tiêu cực,” đội ngũ Moonwell đăng tải.
Một wei là đơn vị nhỏ nhất có thể trên blockchain. Việc điều chỉnh này đã chặn hoàn toàn các khoản vay mới mà không ảnh hưởng đến việc rút tiền. Giới hạn cung cấp cho cả MAMO và WELL – token quản trị của Moonwell – cũng đã được hạ xuống chỉ còn một wei.
Đây không phải lần đầu Moonwell bị tấn công theo kiểu này. Nguyên nhân là lỗi ở giá tài sản chứ không phải lỗi code, và điều này đã khiến Moonwell mất tiền nhiều lần. Trước đó, oracle của wrsETH từng bị lỗi vào tháng 11/2025 gây ra khoản nợ xấu khoảng 3.7 triệu USD. Đến tháng 02/2025, một cấu hình sai ở oracle của cbETH lại khiến Moonwell thiệt hại thêm 1.78 triệu USD. Tổng cộng, chỉ trong 10 tháng qua, các sự cố về định giá đã khiến giao thức này thất thoát hơn 14 triệu USD.
Toàn ngành cũng đang gặp vấn đề tương tự. Term Labs cũng đã mất khoảng 8.5 triệu USD vì một cuộc tấn công quản trị vào Chủ nhật vừa rồi. Ngày càng nhiều chuyên gia nhận định rằng, những thiệt hại lớn nhất của DeFi đa phần đến từ thiết kế kinh tế chưa hợp lý, chứ không phải từ lỗi lập trình hay mã nguồn.
Moonwell cho biết sẽ sớm cập nhật thêm thông tin mới. Hai con số sẽ quyết định mức độ nghiêm trọng của vụ việc: thứ nhất là tổng nợ xấu sau khi giá MAMO ổn định, và thứ hai là lượng cbBTC cùng USDC còn lại cho các nhà cung cấp tài sản muốn rút tiền khỏi giao thức.
