Un attacco riuscito a manipolare il prezzo di un token poco liquido è bastato per svuotare quasi 9 milioni di dollari da uno dei protocolli di lending più attivi su Base. L’exploit Moonwell MAMO del 27 agosto ha colpito il mercato mCBTC della piattaforma, dimostrando ancora una volta quanto sia fragile l’infrastruttura di prezzo che regge i prestiti decentralizzati quando un asset collaterale non ha abbastanza liquidità sul mercato.
Summary
Punti chiave
- Moonwell ha perso circa 8,7 milioni di dollari il 27 agosto dopo la manipolazione del prezzo del token MAMO usato come collaterale.
- L’attaccante ha gonfiato artificialmente il valore di MAMO per prendere in prestito cbBTC reale dal mercato mCBTC.
- I fondi rubati sono stati convertiti in DAI e concentrati in un singolo indirizzo.
- Moonwell ha fissato i borrow cap a 1 wei su tutti i Core Market di Base per bloccare nuovi prestiti.
- Nelle 24 ore successive il token WELL è sceso del 13% e MAMO del 9%.
Moonwell colpita da un exploit da 8,7 milioni di dollari legato al token MAMO
Il protocollo di lending decentralizzato Moonwell ha subito il 27 agosto un attacco che ha svuotato circa 8,7 milioni di dollari dal suo MAMO Core Market sulla rete Base. A confermarlo sono state tre società di sicurezza indipendenti, CertiK, PeckShield e Blockaid, che hanno individuato lo stesso schema di attacco muovendosi in parallelo nelle ore successive all’incidente.
Come l’attacco ha manipolato il prezzo di MAMO per sottrarre cbBTC
Il meccanismo alla base della manipolazione del collateral MAMO è relativamente semplice da descrivere, anche se tecnicamente complesso da eseguire. L’attaccante ha alterato il prezzo del token MAMO, relativamente illiquido, per gonfiarne artificialmente il valore come garanzia. Con quel collaterale sovrastimato, ha ottenuto in prestito cbBTC reale dal mercato mCBTC di Moonwell. Blockaid aveva segnalato inizialmente il drenaggio di 50,6 cbBTC, per un valore superiore ai 4 milioni di dollari, prima che PeckShield fissasse la cifra finale a circa 8,7 milioni di dollari. I fondi sottratti sono stati poi convertiti in DAI e concentrati in un unico indirizzo, una scelta che rende più semplice per gli investigatori tracciare il flusso ma non garantisce automaticamente il recupero delle somme.
La risposta d’emergenza per bloccare ulteriori danni
Moonwell ha reagito nel giro di poche ore, congelando l’attività di prestito su tutta la rete Base prima che l’attacco potesse propagarsi ad altri mercati. La squadra del protocollo ha comunicato pubblicamente le contromisure mentre l’indagine era ancora in corso.
Limiti a 1 wei per prestiti e fornitura su Base
Il protocollo ha fissato i borrow cap per tutti i Core Market su Base a 1 wei, bloccando di fatto qualsiasi nuovo prestito sulla piattaforma. Contestualmente, i supply cap per i token MAMO e WELL sono stati portati a 1 wei, mentre i limiti di fornitura per tutti gli altri asset sono rimasti invariati. È una misura drastica ma tipica in questi scenari: azzerare temporaneamente l’attività per evitare che la falla venga sfruttata di nuovo mentre il team analizza il codice.
Il mercato reagisce mentre le indagini restano aperte
Le conseguenze si sono viste subito sui prezzi dei token nativi del protocollo, segno che il mercato ha immediatamente prezzato il rischio reputazionale legato all’incidente.
WELL e MAMO in calo dopo l’attacco
Nelle 24 ore successive all’exploit, il token WELL di Moonwell è sceso di circa il 13%, secondo i dati di CoinGecko, mentre MAMO ha perso circa il 9% nello stesso periodo, secondo DEX Screener. Va ricordato che MAMO aveva già una storia di forte volatilità: dopo aver toccato un massimo storico di 0,227 dollari, il token aveva perso quasi il 20% del suo valore in seguito al debutto su Coinbase nell’agosto 2025. Questa precedente instabilità di prezzo aiuta a spiegare perché sia stato scelto proprio quel token come leva per la manipolazione del collateral.
Moonwell ha dichiarato che pubblicherà ulteriori dettagli non appena l’indagine avrà prodotto risultati concreti. Al momento il protocollo non ha diffuso un post-mortem completo né ha confermato se una parte dei fondi sottratti potrà essere recuperata. Questa mancanza di trasparenza immediata, per quanto comprensibile nelle prime fasi di un’indagine forense, lascia inevitabilmente aperti interrogativi tra gli utenti sull’entità reale del danno e sulle responsabilità tecniche.
Un 2026 già segnato da falle ripetute e dall’ondata di exploit DeFi
Questo non è il primo problema di sicurezza per Moonwell nel corso del 2026, e il quadro complessivo racconta di un settore ancora esposto a rischi sistemici nonostante anni di audit e sviluppo.
Gli incidenti precedenti di Moonwell
A febbraio, un errore dell’oracolo aveva prezzato erroneamente Coinbase Wrapped ETH a circa 1,12 dollari, quando l’asset veniva scambiato vicino ai 2.200 dollari, lasciando al protocollo un debito in sofferenza di circa 1,78 milioni di dollari. Quell’oracolo difettoso conteneva, a quanto riportato, codice generato utilizzando il modello Claude Opus 4.6 di Anthropic, con un fattore di scala errato alla base del malfunzionamento. A marzo era arrivato un secondo colpo: un attaccante aveva speso appena circa 1.800 dollari in token MFAM per far passare una proposta di governance malevola sul quorum del deployment Moonriver di Moonwell. La proposta puntava a sette mercati di lending e metteva a rischio circa 1,08 milioni di dollari, prima che un meccanismo multisig d’emergenza la bloccasse in tempo.
Aprile 2026, il mese nero della DeFi
L’exploit su MAMO si inserisce in un periodo di perdite particolarmente elevate per l’intera DeFi. Entro il 18 aprile, i protocolli crypto avevano già perso oltre 606 milioni di dollari in almeno 12 incidenti distinti nel corso di quel solo mese. Il caso più grave è stato l’exploit da 292 milioni di dollari subito da Kelp DAO, collegato al gruppo nordcoreano Lazarus Group. Binance Research ha successivamente stimato che gli exploit di aprile abbiano contribuito a circa 13 miliardi di dollari di uscite dal valore totale bloccato nei protocolli on-chain. In questo contesto, la ripetizione di incidenti su Moonwell nell’arco di pochi mesi rischia di erodere la fiducia degli utenti proprio mentre l’intero settore del lending decentralizzato cerca di dimostrare maggiore resilienza tecnica.
FAQ
Come ha eseguito l’attacco chi ha sfruttato la falla su Moonwell?
L’attaccante ha manipolato il prezzo del collaterale del token illiquido MAMO per prendere in prestito cbBTC reale dal mercato di lending di Moonwell sulla rete Base.
Quali misure ha adottato Moonwell per limitare ulteriori perdite?
Moonwell ha fissato borrow cap a 1 wei su tutti i Core Market di Base e ha ridotto i supply cap dei token MAMO e WELL a 1 wei, per bloccare nuovi prestiti e contenere il rischio.
Qual è stato l’impatto finanziario sui token di Moonwell dopo l’exploit?
Dopo l’attacco, il prezzo del token WELL è sceso di circa il 13%, mentre MAMO ha perso circa il 9%.
Moonwell riuscirà a recuperare i fondi sottratti?
L’indagine del protocollo è ancora in corso e Moonwell non ha ancora confermato se sarà possibile recuperare parte dei fondi rubati.
Contenuto realizzato con l’assistenza dell’intelligenza artificiale e con revisione editoriale umana.
