Protokol lending Moonwell kehilangan sekitar US$8,7 juta akibat eksploitasi pada hari Kamis. Tidak ada smart contract yang rusak. Penyerang hanya membuat MAMO, sebuah token kecil di Base, terlihat jauh lebih bernilai daripada nilai aslinya.
Harga yang dinaikkan ini memungkinkan penyerang meminjam aset sungguhan, termasuk Coinbase Wrapped Bitcoin (cbBTC) dan USD Coin (USDC). Perusahaan keamanan Blockaid mendeteksi aktivitas ini, dan Moonwell membekukan aktivitas peminjaman baru dalam hitungan jam.
Cara Kerja Eksploitasi Moonwell
Trik utamanya ada pada harga, bukan kodenya. Blockaid melaporkan bahwa penyerang memanipulasi harga jaminan MAMO hingga berhasil menarik cbBTC dari pasar mCBTC milik Moonwell. Estimasi awal menunjukkan 50,6 cbBTC lenyap, nilainya lebih dari US$4 juta.
MAMO adalah token dari Mamo, sebuah alat yield yang dibangun di atas Base. Total MAMO yang beredar bernilai sekitar US$7,6 juta, dan token ini diperdagangkan sekitar US$0,011366. Pasar sekecil ini sangat mudah untuk di-pump.
Itulah keseluruhan serangannya. Pelaku menaikkan harga MAMO di pasar yang tipis, menggunakannya sebagai jaminan dengan harga palsu, lalu meminjam aset bernilai riil. Oracle milik Moonwell, yaitu sistem yang memberikan harga kepada protokol, mempercayai lonjakan harga palsu itu.
Perusahaan keamanan PeckShield kemudian memperkirakan total kerugian mencapai US$8,7 juta. Angka itu bahkan melebihi nilai pasar seluruh token MAMO. PeckShield menyebut dana hasil exploit ini kini berada di stablecoin DAI pada wallet yang diawali dengan 0xD71d.
Batas Peminjaman Turun Menjadi Satu Wei saat Proses Pemulihan Dimulai
Moonwell mengakui insiden ini lewat sebuah postingan dan mengisyaratkan bahwa mereka sudah bergerak untuk menghentikan kerugian.
“We are aware of an issue affecting the MAMO Core Market on Base and are actively investigating. As a precaution, borrow caps for all Core Markets on Base have been set to 1 wei, preventing new borrowing and limiting the potential for further impact,” tulis tim melalui posting ini.
Satu wei adalah satuan terkecil yang ada. Perubahan ini menghentikan seluruh pinjaman baru tanpa mengganggu penarikan dana. Batas suplai untuk MAMO dan WELL, token tata kelola Moonwell, juga diturunkan ke satu wei.
Eksploitasi di hari Kamis ini bukanlah yang pertama. Masalah harga, bukan kode yang buruk, terus merugikan Moonwell. Kerusakan pada oracle wrsETH pada November 2025 menciptakan utang macet sekitar US$3,7 juta. Selain itu, salah konfigurasi oracle cbETH pada Februari menambah US$1,78 juta lagi. Kegagalan dalam penentuan harga kini telah menyebabkan protokol ini rugi lebih dari US$14 juta dalam sepuluh bulan terakhir.
Sektor yang lebih luas juga memperlihatkan kelemahan serupa. Term Labs mengalami kerugian sekitar US$8,5 juta akibat exploit tata kelola pada hari Minggu. Para analis kini makin sering menyoroti kegagalan desain ekonomi dibandingkan kesalahan kode sebagai penyebab utama kerugian terbesar di dunia decentralized finance.
Moonwell menyebut akan ada update berikutnya. Dua angka akan menjadi penentu utama. Pertama adalah jumlah akhir utang macet setelah harga MAMO stabil. Kedua, seberapa banyak cbBTC dan USDC yang masih tersedia bagi para pemasok yang ingin menarik dana.
