- 29,566
- 46
- 8 Ноя 2022
Цена MAMO взлетела в 40 раз и превратила небольшой залог в источник миллионов.
<div class="articl-text-cover" style="position:relative;width:100%;max-width:800px;margin-left:auto;margin-right:auto;aspect-ratio:1200/675;margin-bottom:2rem;overflow:hidden">
<div itemprop="articleBody">Злоумышленник превратил сравнительно небольшой рынок токена MAMO в источник многомиллионных займов: за несколько часов атакующий раздул стоимость залога в Moonwell, занял активы на $11 млн и вывел с сети Base около $8,7 млн в USDC.
Согласно опубликованному разбору инцидента , атака произошла 27 августа и сочетала сразу две манипуляции. Сначала злоумышленник накопил MAMO и официально внёс в Moonwell около 15,1 млн токенов, получив взамен квитанционные токены mMAMO. Затем ещё 53,4 млн MAMO отправились напрямую в контракт mMAMO без выпуска новых долей.
Прямой перевод резко изменил соотношение между количеством mMAMO и лежащими под ними активами. Обменный курс вырос примерно в 3,68 раза, причём лимит на внесение 20 млн MAMO не помог: Moonwell проверял ограничение только при обычном выпуске mMAMO и не учитывал токены, отправленные прямо на адрес контракта. Похожую механику с инфляцией долей ранее использовали против других DeFi-протоколов.
Параллельно связанные кошельки активно скупали MAMO на децентрализованных биржах. Из-за небольшой ликвидности цена, поступавшая в ценовой оракул Moonwell, поднялась примерно с $0,0106 до $0,431, то есть более чем в 40 раз. В результате протокол одновременно увидел больше MAMO за каждой долей mMAMO и многократно выросшую стоимость самого токена.
Атакующий контролировал около трёх четвертей всех выпущенных mMAMO, поэтому основная часть искусственно созданной стоимости пришлась на его залог. При максимальной цене, которую принял Moonwell, позиция оценивалась примерно в $22,3 млн и позволяла занять около $11,2 млн. Всего злоумышленник совершил 18 займов в cbBTC, WETH, USDC и wstETH общей стоимостью $11,03 млн.
Рынок MAMO появился в Moonwell в октябре 2025 года. В исходном предложении разработчики прямо указывали на высокую волатильность токена и сравнительно небольшую ликвидность. Именно малая глубина рынка впоследствии позволила крупными покупками настолько сильно сдвинуть цену MAMO.
Полученные активы злоумышленник обменял через несколько площадок. Затем с Base через Circle CCTP вывели 8 729 454 USDC двумя почти одинаковыми переводами. На Ethereum поступило около 8,728 млн USDC, после чего вся сумма была конвертирована в DAI и отправлена на связанный кошелёк. Аналитики оценивают прирост отслеживаемого баланса злоумышленника примерно в $6,785 млн относительно первоначального капитала.
Для подготовки операции связанный кошелёк получил около 800 ETH через Tornado Cash. Из них 799 ETH обменяли примерно на $1,947 млн в USDC, которые стали основным внешним капиталом атаки. Дальнейшие покупки MAMO на общую сумму около $7,5 млн частично финансировались уже за счёт активов, занятых у самого Moonwell.
Ликвидация позиции началась всего через 32 секунды после последнего успешного займа. За следующие минуты прошло 595 ликвидаций, которые погасили часть обязательств и забрали практически все mMAMO злоумышленника. Несмотря на ликвидации, на момент подготовки постмортема в Moonwell оставалось около $9,13 млн непогашенного долга, который команда рассматривает как потенциальный дефицит.
После обнаружения проблемы Moonwell снизил лимиты новых займов в основных рынках Base до 1 wei, фактически остановив выдачу кредитов, а также установил минимальные лимиты для внесения MAMO и WELL. Команда продолжает отслеживать средства и готовит дальнейшие меры по восстановлению рынков и покрытию последствий инцидента.
<div class="articl-text-cover" style="position:relative;width:100%;max-width:800px;margin-left:auto;margin-right:auto;aspect-ratio:1200/675;margin-bottom:2rem;overflow:hidden">
<div itemprop="articleBody">Злоумышленник превратил сравнительно небольшой рынок токена MAMO в источник многомиллионных займов: за несколько часов атакующий раздул стоимость залога в Moonwell, занял активы на $11 млн и вывел с сети Base около $8,7 млн в USDC.
Согласно опубликованному разбору инцидента , атака произошла 27 августа и сочетала сразу две манипуляции. Сначала злоумышленник накопил MAMO и официально внёс в Moonwell около 15,1 млн токенов, получив взамен квитанционные токены mMAMO. Затем ещё 53,4 млн MAMO отправились напрямую в контракт mMAMO без выпуска новых долей.
Прямой перевод резко изменил соотношение между количеством mMAMO и лежащими под ними активами. Обменный курс вырос примерно в 3,68 раза, причём лимит на внесение 20 млн MAMO не помог: Moonwell проверял ограничение только при обычном выпуске mMAMO и не учитывал токены, отправленные прямо на адрес контракта. Похожую механику с инфляцией долей ранее использовали против других DeFi-протоколов.
Параллельно связанные кошельки активно скупали MAMO на децентрализованных биржах. Из-за небольшой ликвидности цена, поступавшая в ценовой оракул Moonwell, поднялась примерно с $0,0106 до $0,431, то есть более чем в 40 раз. В результате протокол одновременно увидел больше MAMO за каждой долей mMAMO и многократно выросшую стоимость самого токена.
Атакующий контролировал около трёх четвертей всех выпущенных mMAMO, поэтому основная часть искусственно созданной стоимости пришлась на его залог. При максимальной цене, которую принял Moonwell, позиция оценивалась примерно в $22,3 млн и позволяла занять около $11,2 млн. Всего злоумышленник совершил 18 займов в cbBTC, WETH, USDC и wstETH общей стоимостью $11,03 млн.
Рынок MAMO появился в Moonwell в октябре 2025 года. В исходном предложении разработчики прямо указывали на высокую волатильность токена и сравнительно небольшую ликвидность. Именно малая глубина рынка впоследствии позволила крупными покупками настолько сильно сдвинуть цену MAMO.
Полученные активы злоумышленник обменял через несколько площадок. Затем с Base через Circle CCTP вывели 8 729 454 USDC двумя почти одинаковыми переводами. На Ethereum поступило около 8,728 млн USDC, после чего вся сумма была конвертирована в DAI и отправлена на связанный кошелёк. Аналитики оценивают прирост отслеживаемого баланса злоумышленника примерно в $6,785 млн относительно первоначального капитала.
Для подготовки операции связанный кошелёк получил около 800 ETH через Tornado Cash. Из них 799 ETH обменяли примерно на $1,947 млн в USDC, которые стали основным внешним капиталом атаки. Дальнейшие покупки MAMO на общую сумму около $7,5 млн частично финансировались уже за счёт активов, занятых у самого Moonwell.
Ликвидация позиции началась всего через 32 секунды после последнего успешного займа. За следующие минуты прошло 595 ликвидаций, которые погасили часть обязательств и забрали практически все mMAMO злоумышленника. Несмотря на ликвидации, на момент подготовки постмортема в Moonwell оставалось около $9,13 млн непогашенного долга, который команда рассматривает как потенциальный дефицит.
После обнаружения проблемы Moonwell снизил лимиты новых займов в основных рынках Base до 1 wei, фактически остановив выдачу кредитов, а также установил минимальные лимиты для внесения MAMO и WELL. Команда продолжает отслеживать средства и готовит дальнейшие меры по восстановлению рынков и покрытию последствий инцидента.
- Источник новости
- www.securitylab.ru
