Das Lending-Protokoll Moonwell hat am Donnerstag schätzungsweise 8,7 Millionen USD durch einen Exploit verloren. Es wurde kein Smart Contract gehackt. Ein Angreifer ließ den kleinen Base-Token MAMO viel wertvoller erscheinen, als er tatsächlich ist.
Durch den künstlich erhöhten Kurs konnte der Angreifer echte Vermögenswerte wie Coinbase Wrapped Bitcoin (cbBTC) und USD Coin (USDC) leihen. Die Sicherheitsfirma Blockaid entdeckte diese Aktivität, und Moonwell stoppte innerhalb weniger Stunden das neue Leihen.
So funktionierte der Moonwell-Exploit
Der Angriff beruhte auf dem Kurs, nicht auf dem Code. Blockaid berichtete, dass der Angreifer den hinterlegten Wert von MAMO manipulierte, um cbBTC aus Moonwells mCBTC-Markt abzuziehen. Laut einer ersten Schätzung wurden 50,6 cbBTC gestohlen, mit einem Wert von mehr als 4 Millionen USD.
MAMO ist der Token von Mamo, einem Renditetool auf Base. Alle MAMO-Token zusammen sind etwa 7,6 Millionen USD wert, und der Token wird für ungefähr 0,011366 USD gehandelt. Ein so kleiner Markt lässt sich leicht in die Höhe treiben.
Das war die ganze Attacke. MAMO in einem illiquiden Markt kaufen, ihn zum falschen Kurs als Sicherheit hinterlegen und damit Vermögenswerte mit echtem Wert ausleihen. Das Oracle von Moonwell, das die Preise an das Protokoll liefert, glaubte dem gefälschten Kursanstieg.
Später schätzte die Sicherheitsfirma PeckShield den Gesamtschaden auf 8,7 Millionen USD. Das ist mehr als der gesamte Marktwert aller MAMO-Token. Die Firma erklärte, die Mittel lägen nun als DAI-Stablecoin in einer Wallet, die mit 0xD71d beginnt.
Leihobergrenzen auf ein Wei reduziert: Fragen zur Wiederherstellung beginnen
Moonwell bestätigte den Vorfall in einem Beitrag und gab an, bereits Maßnahmen zu ergreifen, um weitere Verluste zu verhindern.
„Uns ist ein Problem im MAMO Core Market auf Base bekannt, das wir aktiv untersuchen. Vorsorglich wurden die Leihobergrenzen für alle Core Markets auf Base auf 1 wei gesetzt, um neue Leihen zu verhindern und weitere Auswirkungen zu begrenzen”, schrieb das Team hier.
Ein Wei ist die kleinste mögliche Einheit. So werden neue Kredite verhindert, ohne Auszahlungen zu blockieren. Auch die Obergrenzen für MAMO und WELL, den Governance-Token von Moonwell, wurden auf ein Wei gesenkt.
Der aktuelle Exploit ist kein Einzelfall. Schlechte Preise, nicht fehlerhafte Codes, kosten Moonwell wiederholt Geld. Im November 2025 verursachte eine wrsETH-Oracle-Störung rund 3,7 Millionen USD an faulen Schulden. Im Februar führten Probleme bei einem cbETH-Oracle zu weiteren 1,78 Millionen USD Verlust. Preisfehler haben dem Protokoll in zehn Monaten jetzt mehr als 14 Millionen USD gekostet.
Auch andere Bereiche sind betroffen. Term Labs verlor am Sonntag etwa 8,5 Millionen USD durch einen Governance-Exploit. Analysten geben immer öfter Fehler im wirtschaftlichen Konzept statt fehlerhaftem Code die Schuld an DeFis größten Verlusten.
Moonwell kündigte ein weiteres Update an. Zwei Zahlen werden entscheidend sein. Erstens: Wie hoch ist die finale Summe der faulen Schulden, wenn sich der MAMO-Kurs einpendelt? Zweitens: Wie viel cbBTC und USDC bleibt für Anleger, die ihre Vermögenswerte abziehen möchten?
