Die dezentrale Finanzplattform Moonwell erlitt am 4. November 2025 einen Exploit in Höhe von 1 Million US‑Dollar, der kritische Schwachstellen darin aufdeckte, wie DeFi‑Protokolle auf externe Preisdaten angewiesen sind. Der Angriff richtete sich gegen die Kreditvergabe‑Operationen des Protokolls auf den Base- und Optimism‑Netzwerken und entleerte Mittel durch eine ausgeklügelte Flash‑Loan‑Ausnutzung, die Oracle‑Preisfeeds manipulierte.
Der Vorfall begann, als die Blockchain‑Sicherheitsfirma BlockSec verdächtige Transaktionen entdeckte, die auf die Smart Contracts von Moonwell abzielten. Ihren Analysen zufolge nutzten Angreifer einen fehlerhaften rsETH/ETH‑Oracle‑Feed aus, der den Preis von Wrapped Restaked ETH (wrstETH) fälschlicherweise mit rund 5,8 Millionen US‑Dollar pro Token angab – eine massive Überbewertung im Vergleich zum tatsächlichen Marktpreis von unter 3.500 US‑Dollar für das zugrunde liegende ETH.
Mithilfe dieses Preisfehlers führte der Hacker wiederholte Flash‑Loan‑Angriffe aus, die es ihm ermöglichten, große Mengen Kryptowährung gegen minimale Sicherheiten zu leihen. Die Sicherheitsfirma CertiK berichtete, dass der Angreifer „wiederholt über 20 wstETH mit nur ~0,02 wrstETH, die per Flash‑Loan aufgenommen und eingezahlt wurden, leihen konnte“, und zwar aufgrund der Oracle‑Fehlfunktion.
Letztlich erbeutete der Exploit für den Hacker rund 295 ETH im Wert von etwa 1 Million US‑Dollar.
Ein Muster von Schwachstellen
Dieser jüngste Sicherheitsbruch stellt den vierten größeren Vorfall für Moonwell innerhalb von drei Jahren dar und wirft ernsthafte Fragen zur Sicherheitsinfrastruktur des Protokolls auf. Die Plattform verlor bereits im Oktober 2025 1,7 Millionen US‑Dollar während eines Marktcrashs, der durch Zolldrohungen ausgelöst wurde, als Oracle‑DEX‑Preisdifferenzen es Angreifern ermöglichten, Liquidationsmechanismen auszunutzen.
Im Dezember 2024 erlitt Moonwell einen Flash‑Loan‑Angriff über 320.000 US‑Dollar, der auf seinen USDC‑Lending‑Contract abzielte, bei dem ein bösartiger Contract, der als „mToken“ getarnt war, unautorisierte Token‑Freigaben erteilte. Der Angreifer nutzte Tornado Cash zur Finanzierung der Wallet und tauschte die gestohlenen USDC schnell gegen DAI, bevor Behörden reagieren konnten.
Das Protokoll war zudem vom Nomad‑Bridge‑Vorfall im Jahr 2022 betroffen, auch wenn der genaue finanzielle Schaden unklar bleibt. Diese bedenkliche Vorgeschichte veranlasste den Sicherheitsauditor QuillAudits zu der Bemerkung: „Another day, another Moonwell exploit. 4th major incident in 3 years.“
Marktauswirkungen und Anlegervertrauen
Der Exploit löste unmittelbare Schockwellen im Moonwell‑Ökosystem aus. Der WELL‑Token fiel nach Bekanntwerden des Angriffs an einem einzigen Tag um 13,5 % und damit deutlich stärker als der breitere Kryptomarkt mit einem Rückgang von 3,95 %. Am 4. November notierte WELL bei rund 0,0155 US‑Dollar, was einem Rückgang von 51 % im letzten Monat entspricht und den Abstand zum Allzeithoch auf über 96 % ausweitet.
Das Timing war für Moonwell besonders unglücklich, da das Protokoll gerade rekordhohe Gebühreneinnahmen im Oktober gemeldet hatte und 2,12 Millionen US‑Dollar an Kreditgeber und Reserven auf Base und Optimism ausschüttete. Die Plattform führte diesen Erfolg auf „höhere Kreditnachfrage → höhere Zinsen → mehr Einnahmen → mehr WELL, das in Reserveauktionen jeden Monat erworben wird“ zurück. Der jüngste Sicherheitsvorfall überschattete diese positiven Kennzahlen jedoch und schürte Sorgen über Kapitalabflüsse aus dem Protokoll.
Zusätzlich zur Verunsicherung der Anleger stellte Moonwell sein Bug‑Bounty‑Programm auf Immunefi Anfang 2025 ein – nur wenige Monate vor den großen Angriffen. Diese Entscheidung erscheint im Lichte der nachfolgenden Sicherheitsversagen nun fragwürdig.
Das Oracle‑Problem in DeFi
Der Moonwell‑Vorfall verdeutlicht eine grundlegende Herausforderung für dezentrale Finanzen: die Abhängigkeit von externen Datenquellen, sogenannten Oracles. Diese Systeme liefern Smart Contracts reale Informationen wie Vermögenspreise, bringen aber potenzielle Ausfallpunkte mit sich.
In diesem Fall ging der Exploit auf eine Off‑Chain‑Oracle‑Schwachstelle im rsETH/ETH‑Preisfeed zurück, der möglicherweise von Chainlink bereitgestellt wurde. Sicherheitsanalysten stellten fest, dass die Oracle‑Konfiguration „archaische Heartbeat‑Intervalle und breite Abweichungsschwellen“ enthielt und so erhebliche Preisabweichungen zuließ, bevor Updates ausgelöst wurden.
Die Angriffsmethode selbst war hochentwickelt. Mithilfe von Flash‑Loans – unbesicherten Krediten, die innerhalb einer einzigen Transaktion zurückgezahlt werden müssen – blähte der Hacker Sicherheitenwerte auf Basis der fehlerhaften Oracle‑Daten künstlich auf. Da das Protokoll die kleine Einzahlung von 0,02 wrstETH mit über 116.000 US‑Dollar bewertete, konnte der Angreifer pro Transaktion 20 wstETH leihen und Moonwells Reserven über mehrere Operationen hinweg leeren.
Blockchain‑Analysten gehen davon aus, dass MEV‑Bots (Maximal Extractable Value) an der Identifizierung und Ausnutzung der Schwachstelle beteiligt gewesen sein könnten und damit aufzeigen, wie automatisierte Handelssysteme Protokollschwachstellen rasch ausnutzen können.
Breitere DeFi‑Sicherheitskrise
Der Moonwell‑Exploit ereignete sich in einer besonders turbulenten Phase für dezentrale Finanzen. Nur einen Tag zuvor, am 3. November, erlitt Balancer einen verheerenden Hack über 128 Millionen US‑Dollar, der seine V2‑Pools auf mehreren Blockchains einschließlich Ethereum, Berachain, Arbitrum, Base, Optimism und Polygon betraf.
Der Balancer‑Angriff nutzte eine fehlerhafte Zugriffskontrolle in den „Boosted Pools“ und der Funktion „manageUserBalance“ aus, obwohl der Code seit 2021 elf separaten Sicherheitsaudits unterzogen worden war. Diese Realität zeigte, dass selbst umfangreiche Audits keine vollständige Protokollsicherheit garantieren.
Darüber hinaus erlitt Berachain, eine Ethereum‑kompatible Layer‑1‑Blockchain, einen Exploit im Zusammenhang mit dem Ethena/Honey‑Tripool. Die Berachain Foundation pausierte das Netzwerk vorübergehend, um weiteren Schaden zu verhindern. Chief Smokey Officer Smokey The Bera erklärte: „Wenn ungefähr 12 Mio. US‑Dollar an Nutzergeldern gefährdet sind ... haben wir versucht, das Validator‑Set zu koordinieren, um diese Nutzer zu schützen.“
Zusammengenommen vernichteten diese drei Vorfälle Anfang November 2025 laut The Block mindestens 222 Millionen US‑Dollar in DeFi‑Protokollen und legten die tiefgreifende Vernetzung von Liquiditäts‑ und Sicherungssystemen über Blockchains hinweg offen.
Abschließende Gedanken
Während Daten von PeckShield zeigen, dass die Verluste durch DeFi‑Hacks im Oktober um 85,7 % auf 18,18 Millionen US‑Dollar über 15 Vorfälle gesunken sind – von über 127 Millionen US‑Dollar im September –, machen die Angriffe im November deutlich, dass weiterhin erhebliche Schwachstellen bestehen. Oracle‑Manipulationen und Flash‑Loan‑Exploits gehören nach wie vor zu den effektivsten Angriffsvektoren auf DeFi‑Protokolle.
Branchenexperten sind der Ansicht, dass diese Vorfälle Forderungen nach strengeren Oracle‑Validierungsanforderungen und Preissystemen mit mehreren Quellen beschleunigen werden. DeFi‑Protokolle werden möglicherweise robustere Preis‑Plausibilitätsprüfungen, schnellere Heartbeat‑Intervalle für Oracle‑Updates und Schutzmechanismen („Circuit Breaker“) implementieren müssen, die den Betrieb pausieren, wenn ungewöhnliche Preisbewegungen erkannt werden.
Für Moonwell selbst gestaltet sich der Weg zum Wiederaufbau des Vertrauens schwierig. Mit einem Total Value Locked, der von fast 400 Millionen US‑Dollar auf rund 234 Millionen US‑Dollar zurückgegangen ist – noch vor dem jüngsten Angriff – und weiteren Rückgängen in Aussicht steht das Protokoll unter Druck, umfassende Sicherheitsupgrades umzusetzen und möglicherweise betroffene Nutzer zu entschädigen.
Die Exploits im November 2025 dienen als eindringliche Erinnerung daran, dass der Sektor trotz jahrelanger Entwicklung und Milliardenbeträgen, die in DeFi‑Protokollen gesperrt sind, weiterhin anfällig für hochentwickelte Angriffe bleibt. Mit wachsender Adoption und zunehmendem institutionellem Kapitalzufluss in dezentrale Finanzen war der Bedarf an stärkeren Sicherheitsmaßnahmen, besseren Oracle‑Systemen und umfassenderem Risikomanagement noch nie so dringend wie heute.