La plataforma de finanzas descentralizadas Moonwell sufrió un exploit de 1 millón de dólares el 4 de noviembre de 2025, exponiendo vulnerabilidades críticas en la forma en que los protocolos DeFi dependen de datos de precios externos. El ataque apuntó a las operaciones del protocolo de préstamos en las redes Base y Optimism, drenando fondos mediante una sofisticada explotación de préstamos flash que manipuló los oráculos de precios.
El incidente se desarrolló cuando la firma de seguridad blockchain BlockSec detectó transacciones sospechosas dirigidas a los contratos inteligentes de Moonwell. Según su análisis, los atacantes explotaron un feed de oráculo rsETH/ETH defectuoso que informaba incorrectamente el precio del ETH re‑apostado envuelto (wrstETH) en aproximadamente 5,8 millones de dólares por token, una enorme sobrevaloración frente al precio real de mercado de menos de 3.500 dólares para el ETH subyacente.
Usando este error de precios, el hacker ejecutó repetidos ataques de préstamos flash que le permitieron pedir prestadas cantidades sustanciales de criptomonedas contra un colateral mínimo. La firma de seguridad CertiK informó que el atacante «pudo pedir prestados repetidamente más de 20 wstETH con solo ~0,02 wrstETH tomados en préstamo vía flash loan y depositados» debido al mal funcionamiento del oráculo.
El exploit finalmente proporcionó al hacker aproximadamente 295 ETH, valorados en alrededor de 1 millón de dólares.
Un patrón de vulnerabilidades
Esta última brecha representa el cuarto incidente de seguridad importante para Moonwell en tres años, lo que plantea serias dudas sobre la infraestructura de seguridad del protocolo. La plataforma perdió previamente 1,7 millones de dólares en octubre de 2025 durante un desplome de mercado desencadenado por anuncios de aranceles, cuando las brechas de precios entre oráculos y DEX permitieron a los atacantes explotar los mecanismos de liquidación.
En diciembre de 2024, Moonwell sufrió un ataque de préstamo flash de 320.000 dólares dirigido a su contrato de préstamos de USDC, donde un contrato malicioso disfrazado de «mToken» otorgó aprobaciones de tokens no autorizadas. El atacante utilizó Tornado Cash para financiar la cartera y rápidamente cambió el USDC robado por DAI antes de que las autoridades pudieran responder.
El protocolo también experimentó problemas relacionados con el incidente de Nomad Bridge en 2022, aunque el impacto financiero exacto sigue sin estar claro. Este preocupante historial llevó al auditor de seguridad QuillAudits a señalar: «Otro día, otro exploit de Moonwell. 4.º incidente mayor en 3 años».
Impacto en el mercado y confianza de los inversores
El exploit provocó ondas de choque inmediatas en el ecosistema de Moonwell. El token WELL se desplomó un 13,5 % en un solo día tras conocerse la noticia del ataque, un rendimiento significativamente peor que la caída del 3,95 % del mercado cripto en general. Al 4 de noviembre, WELL cotizaba aproximadamente a 0,0155 dólares, lo que supone un descenso del 51 % en el último mes y amplía las pérdidas desde los máximos históricos a más del 96 %.
El momento resultó especialmente desafortunado para Moonwell, que acababa de informar de ingresos por comisiones récord en octubre, distribuyendo 2,12 millones de dólares a prestamistas y reservas en Base y Optimism. La plataforma atribuyó este éxito al «aumento de la demanda de préstamos → tipos más altos → más ingresos → más WELL adquiridos en subastas de reserva cada mes». Sin embargo, la última brecha de seguridad eclipsó estas métricas positivas y generó preocupación sobre salidas de capital del protocolo.
Aumentando la inquietud de los inversores, Moonwell suprimió su programa de recompensas por bugs en Immunefi a principios de 2025, solo unos meses antes de que se produjeran estos ataques importantes. Esta decisión ahora parece cuestionable a la luz de los fallos de seguridad posteriores.
El problema de los oráculos en DeFi
El incidente de Moonwell pone de relieve un reto fundamental al que se enfrenta las finanzas descentralizadas: la dependencia de fuentes de datos externas llamadas oráculos. Estos sistemas proporcionan a los contratos inteligentes información del mundo real, como los precios de los activos, pero introducen posibles puntos de fallo.
En este caso, el exploit se originó en una vulnerabilidad de oráculo off‑chain en el feed de precios rsETH/ETH, potencialmente suministrado por Chainlink. Los analistas de seguridad señalaron que la configuración del oráculo incluía «intervalos de heartbeat arcaicos y amplios umbrales de desviación», lo que permitía desviaciones significativas de precios antes de desencadenar actualizaciones.
El propio método de ataque fue sofisticado. Utilizando préstamos flash, préstamos sin colateral que deben devolverse dentro de una única transacción, el hacker infló los valores del colateral basándose en los datos defectuosos del oráculo. Dado que el protocolo valoró el pequeño depósito de 0,02 wrstETH en más de 116.000 dólares, el atacante pudo pedir prestados 20 wstETH por transacción, drenando las reservas de Moonwell a través de múltiples operaciones.
Los analistas de blockchain creen que bots MEV (maximal extractable value) podrían haber estado involucrados en la identificación y explotación de la vulnerabilidad, lo que pone de relieve cómo los sistemas de trading automatizados pueden capitalizar rápidamente las debilidades de los protocolos.
Crisis de seguridad más amplia en DeFi
El exploit de Moonwell se produjo en un periodo particularmente turbulento para las finanzas descentralizadas. Solo un día antes, el 3 de noviembre, Balancer sufrió un devastador hackeo de 128 millones de dólares que afectó a sus pools V2 en múltiples blockchains, incluidas Ethereum, Berachain, Arbitrum, Base, Optimism y Polygon.
El ataque a Balancer explotó una vulnerabilidad de control de acceso defectuosa en los «boosted pools» del protocolo y en la función «manageUserBalance», a pesar de que el código se había sometido a 11 auditorías de seguridad diferentes desde 2021. Este baño de realidad demostró que ni siquiera una auditoría exhaustiva puede garantizar la seguridad de un protocolo.
Además, Berachain, una blockchain de Capa 1 compatible con Ethereum, sufrió un exploit vinculado al tripool Ethena/Honey. La Berachain Foundation pausó temporalmente su red para evitar más daños, y el Chief Smokey Officer Smokey The Bera explicó: «Cuando aproximadamente 12 millones de dólares de fondos de usuarios están en riesgo... intentamos coordinar el conjunto de validadores para proteger a esos usuarios».
Juntos, estos tres incidentes a comienzos de noviembre de 2025 borraron al menos 222 millones de dólares de protocolos DeFi, según The Block, y pusieron de manifiesto la naturaleza profundamente interconectada de los sistemas de liquidez y colateral en las redes blockchain.
Reflexiones finales
Aunque los datos de PeckShield muestran que las pérdidas por hacks DeFi cayeron un 85,7 % en octubre hasta 18,18 millones de dólares en 15 incidentes —frente a más de 127 millones en septiembre—, los ataques de noviembre demuestran que persisten vulnerabilidades significativas. La manipulación de oráculos y los exploits de préstamos flash siguen siendo entre los vectores de ataque más efectivos contra los protocolos DeFi.
Expertos del sector sostienen que estos incidentes probablemente acelerarán las peticiones de requisitos más estrictos de validación de oráculos y sistemas de verificación de precios multi‑fuente. Es posible que los protocolos DeFi tengan que implementar comprobaciones de cordura de precios más robustas, intervalos de heartbeat más rápidos para las actualizaciones de oráculos y cortacircuitos que pausen las operaciones cuando se detecten movimientos de precios inusuales.
Para Moonwell en concreto, el camino para reconstruir la confianza parece complicado. Con el total de valor bloqueado cayendo desde casi 400 millones de dólares en el pico a aproximadamente 234 millones antes del último ataque, y con nuevas caídas previstas, el protocolo se enfrenta a la presión de implementar mejoras de seguridad exhaustivas y, potencialmente, compensar a los usuarios afectados.
Los exploits de noviembre de 2025 sirven como un claro recordatorio de que, a pesar de años de desarrollo y de miles de millones de dólares bloqueados en protocolos DeFi, el sector sigue siendo vulnerable a ataques sofisticados. A medida que crece la adopción y fluye más capital institucional hacia las finanzas descentralizadas, la necesidad de medidas de seguridad más sólidas, mejores sistemas de oráculos y una gestión de riesgos más completa nunca ha sido tan crítica.