La plateforme de finance décentralisée Moonwell a subi un exploit de 1 million de dollars le 4 novembre 2025, révélant des vulnérabilités critiques dans la manière dont les protocoles DeFi s’appuient sur des données de prix externes. L’attaque a ciblé les opérations du protocole de prêt sur les réseaux Base et Optimism, vidant les fonds via une exploitation sophistiquée de prêts flash qui a manipulé les flux de prix des oracles.
L’incident s’est déclenché lorsque la société de sécurité blockchain BlockSec a détecté des transactions suspectes visant les contrats intelligents de Moonwell. Selon leur analyse, les attaquants ont exploité un flux d’oracle rsETH/ETH défectueux qui indiquait à tort le prix de l’ETH restaké emballé (wrstETH) à environ 5,8 millions de dollars par jeton – une surévaluation massive par rapport au prix réel du marché, inférieur à 3 500 dollars pour l’ETH sous-jacent.
En utilisant cette erreur de tarification, le hacker a exécuté des prêts flash répétés lui permettant d’emprunter des montants substantiels de cryptomonnaies contre un collatéral minimal. La société de sécurité CertiK a rapporté que l’attaquant « a pu emprunter à plusieurs reprises plus de 20 wstETH avec seulement ~0,02 wrstETH empruntés en prêt flash et déposés » en raison du dysfonctionnement de l’oracle.
L’exploit a finalement rapporté au hacker environ 295 ETH, soit approximativement 1 million de dollars.
Un schéma récurrent de vulnérabilités
Cette dernière brèche représente le quatrième incident de sécurité majeur pour Moonwell en trois ans, soulevant de sérieuses questions sur l’infrastructure de sécurité du protocole. La plateforme avait déjà perdu 1,7 million de dollars en octobre 2025 lors d’un krach de marché déclenché par des annonces de tarifs, lorsque des écarts de prix entre oracles et DEX ont permis à des attaquants d’exploiter les mécanismes de liquidation.
En décembre 2024, Moonwell a subi une attaque de prêt flash de 320 000 dollars ciblant son contrat de prêt USDC, où un contrat malveillant déguisé en « mToken » a accordé des autorisations de jetons non autorisées. L’attaquant a utilisé Tornado Cash pour approvisionner le portefeuille et a rapidement échangé les USDC volés contre des DAI avant que les autorités ne puissent réagir.
Le protocole a également rencontré des problèmes liés à l’incident du pont Nomad en 2022, même si l’impact financier exact reste flou. Ce bilan inquiétant a poussé l’auditeur de sécurité QuillAudits à noter : « Un jour de plus, un nouvel exploit Moonwell. 4e incident majeur en 3 ans. »
Impact sur le marché et confiance des investisseurs
L’exploit a provoqué un choc immédiat dans l’écosystème Moonwell. Le jeton WELL a chuté de 13,5 % en une seule journée après l’annonce de l’attaque, une performance nettement pire que le recul de 3,95 % du marché crypto au sens large. Au 4 novembre, WELL s’échangeait autour de 0,0155 dollar, soit une baisse de 51 % sur le dernier mois et une chute de plus de 96 % par rapport à ses sommets historiques.
Le timing s’est révélé particulièrement malheureux pour Moonwell, qui venait tout juste d’annoncer des revenus de frais records en octobre, distribuant 2,12 millions de dollars aux prêteurs et aux réserves sur Base et Optimism. La plateforme attribuait ce succès à « une hausse de la demande d’emprunt → des taux plus élevés → plus de revenus → plus de WELL acquis lors des enchères de réserve chaque mois ». Cependant, la dernière brèche de sécurité a éclipsé ces indicateurs positifs et suscité des inquiétudes quant aux sorties de capitaux du protocole.
Ajoutant au malaise des investisseurs, Moonwell a interrompu son programme de bug bounty sur Immunefi plus tôt en 2025, quelques mois seulement avant ces attaques majeures. Cette décision apparaît aujourd’hui discutable au vu des défaillances de sécurité qui ont suivi.
Le problème des oracles dans la DeFi
L’incident Moonwell met en lumière un défi fondamental de la finance décentralisée : la dépendance à des sources de données externes appelées oracles. Ces systèmes fournissent aux contrats intelligents des informations du monde réel, comme les prix des actifs, mais introduisent des points de défaillance potentiels.
Dans ce cas, l’exploit trouve son origine dans une vulnérabilité d’oracle off-chain sur le flux de prix rsETH/ETH, potentiellement fourni par Chainlink. Les analystes en sécurité ont noté que la configuration de l’oracle incluait « des intervalles de heartbeat archaïques et des seuils de déviation larges », permettant à des écarts de prix importants de persister avant de déclencher des mises à jour.
La méthode d’attaque elle-même était sophistiquée. En utilisant des prêts flash – des prêts non collatéralisés qui doivent être remboursés au sein d’une seule transaction – le hacker a gonflé la valeur du collatéral sur la base des données d’oracle défectueuses. Comme le protocole valorisait le petit dépôt de 0,02 wrstETH à plus de 116 000 dollars, l’attaquant a pu emprunter 20 wstETH par transaction, vidant les réserves de Moonwell au fil de multiples opérations.
Les analystes blockchain estiment que des bots MEV (maximal extractable value) ont pu être impliqués dans l’identification et l’exploitation de la vulnérabilité, illustrant la façon dont les systèmes de trading automatisés peuvent exploiter très rapidement les faiblesses des protocoles.
Crise de sécurité plus large dans la DeFi
L’exploit Moonwell est survenu au milieu d’une période particulièrement turbulente pour la finance décentralisée. La veille, le 3 novembre, Balancer a subi un hack dévastateur de 128 millions de dollars affectant ses pools V2 sur plusieurs blockchains, dont Ethereum, Berachain, Arbitrum, Base, Optimism et Polygon.
L’attaque contre Balancer a exploité une vulnérabilité de contrôle d’accès défaillant dans les « boosted pools » du protocole et la fonction « manageUserBalance », alors même que la base de code avait subi 11 audits de sécurité distincts depuis 2021. Ce rappel brutal a montré que même des audits poussés ne peuvent pas garantir la sécurité d’un protocole.
De plus, Berachain, une blockchain de couche 1 compatible Ethereum, a subi un exploit lié au tripool Ethena/Honey. La Berachain Foundation a temporairement suspendu son réseau pour éviter d’autres dégâts, le Chief Smokey Officer Smokey The Bera expliquant : « Lorsque environ 12 M$ de fonds utilisateurs sont en jeu… nous avons tenté de coordonner le set de validateurs pour protéger ces utilisateurs. »
Ensemble, ces trois incidents du début novembre 2025 ont effacé au moins 222 millions de dollars de protocoles DeFi, selon The Block, révélant la nature profondément interconnectée des systèmes de liquidité et de collatéral à travers les réseaux blockchain.
Réflexions finales
Même si les données de PeckShield montrent que les pertes liées aux hacks DeFi ont chuté de 85,7 % en octobre pour atteindre 18,18 millions de dollars sur 15 incidents – contre plus de 127 millions en septembre –, les attaques de novembre démontrent que des vulnérabilités importantes persistent. La manipulation d’oracles et les exploits de prêts flash restent parmi les vecteurs d’attaque les plus efficaces contre les protocoles DeFi.
Les experts du secteur estiment que ces incidents vont probablement accélérer les appels à des exigences plus strictes en matière de validation des oracles et à des systèmes de vérification de prix multi-sources. Les protocoles DeFi pourraient devoir mettre en place des contrôles de cohérence des prix plus robustes, des intervalles de heartbeat plus rapides pour les mises à jour d’oracle, ainsi que des coupe-circuits qui suspendent les opérations lorsqu’on détecte des mouvements de prix inhabituels.
Pour Moonwell en particulier, le chemin vers le rétablissement de la confiance s’annonce difficile. Avec la valeur totale verrouillée en recul, passant de près de 400 millions de dollars à environ 234 millions avant la dernière attaque, et de nouvelles baisses attendues, le protocole subit une forte pression pour mettre en œuvre des améliorations de sécurité complètes et, potentiellement, indemniser les utilisateurs affectés.
Les exploits de novembre 2025 rappellent brutalement que, malgré des années de développement et des milliards de dollars verrouillés dans les protocoles DeFi, le secteur reste vulnérable à des attaques sophistiquées. À mesure que l’adoption progresse et que davantage de capitaux institutionnels affluent vers la finance décentralisée, l’impératif de renforcer les mesures de sécurité, d’améliorer les systèmes d’oracles et de développer une gestion des risques plus complète n’a jamais été aussi crucial.