Platform keuangan terdesentralisasi Moonwell mengalami eksploit senilai $1 juta pada 4 November 2025, mengungkap kerentanan kritis dalam cara protokol DeFi bergantung pada data harga eksternal. Serangan ini menargetkan operasi protokol pinjaman di jaringan Base dan Optimism, menguras dana melalui eksploitasi flash loan canggih yang memanipulasi feed harga oracle.
Insiden ini terungkap ketika perusahaan keamanan blockchain BlockSec mendeteksi transaksi mencurigakan yang menargetkan smart contract Moonwell. Menurut analisis mereka, penyerang mengeksploitasi feed oracle rsETH/ETH yang rusak yang secara keliru melaporkan harga wrapped restaked ETH (wrstETH) sekitar $5,8 juta per token - nilai yang sangat berlebihan dibandingkan harga pasar sebenarnya yang kurang dari $3.500 untuk ETH dasar.
Dengan memanfaatkan kesalahan harga ini, peretas mengeksekusi serangkaian serangan flash loan yang memungkinkan mereka meminjam sejumlah besar kripto dengan jaminan minimal. Perusahaan keamanan CertiK melaporkan bahwa penyerang "mampu berulang kali meminjam lebih dari 20 wstETH hanya dengan ~0,02 wrstETH yang di-flashloan dan disetor" karena malfungsi oracle.
Eksploit ini pada akhirnya menghasilkan sekitar 295 ETH bagi peretas, dengan nilai kira-kira $1 juta.
Pola Kerentanan
Pelanggaran terbaru ini merupakan insiden keamanan besar keempat bagi Moonwell dalam tiga tahun, menimbulkan pertanyaan serius tentang infrastruktur keamanannya. Platform ini sebelumnya kehilangan $1,7 juta pada Oktober 2025 selama kejatuhan pasar yang dipicu oleh pengumuman tarif, ketika selisih harga oracle-DEX memungkinkan penyerang mengeksploitasi mekanisme likuidasi.
Pada Desember 2024, Moonwell mengalami serangan flash loan senilai $320.000 yang menargetkan kontrak peminjaman USDC-nya, di mana kontrak berbahaya yang menyamar sebagai "mToken" memberikan persetujuan token tanpa otorisasi. Penyerang menggunakan Tornado Cash untuk mendanai wallet dan dengan cepat menukar USDC hasil curian menjadi DAI sebelum otoritas dapat merespons.
Protokol ini juga mengalami masalah terkait insiden Nomad Bridge pada 2022, meskipun dampak finansial pastinya masih belum jelas. Rekam jejak yang mengkhawatirkan ini mendorong auditor keamanan QuillAudits mencatat: "Another day, another Moonwell exploit. Insiden besar ke-4 dalam 3 tahun."
Dampak Pasar dan Kepercayaan Investor
Eksploit tersebut langsung mengguncang ekosistem Moonwell. Token WELL anjlok 13,5% dalam satu hari setelah kabar serangan, jauh lebih buruk dibanding penurunan pasar kripto yang lebih luas sebesar 3,95%. Per 4 November, WELL diperdagangkan sekitar $0,0155, turun 51% selama sebulan terakhir dan memperpanjang kerugian dari level tertinggi sepanjang masa menjadi lebih dari 96%.
Waktu kejadiannya sangat tidak menguntungkan bagi Moonwell, yang baru saja melaporkan pendapatan biaya rekor pada Oktober, mendistribusikan $2,12 juta kepada pemberi pinjaman dan cadangan di Base dan Optimism. Platform mengaitkan keberhasilan ini dengan "permintaan pinjaman meningkat → suku bunga lebih tinggi → lebih banyak pendapatan → lebih banyak WELL diperoleh dalam lelang cadangan setiap bulan." Namun, pelanggaran keamanan terbaru ini menutupi metrik positif tersebut dan menimbulkan kekhawatiran tentang arus keluar modal dari protokol.
Menambah kegelisahan investor, Moonwell menghentikan program bug bounty di Immunefi awal 2025, hanya beberapa bulan sebelum serangan besar ini terjadi. Keputusan ini kini tampak dapat dipertanyakan mengingat kegagalan keamanan berikutnya.
Masalah Oracle di DeFi
Insiden Moonwell menyoroti tantangan fundamental yang dihadapi keuangan terdesentralisasi: ketergantungan pada sumber data eksternal yang disebut oracle. Sistem ini menyediakan informasi dunia nyata seperti harga aset ke smart contract, tetapi sekaligus menjadi titik potensi kegagalan.
Dalam kasus ini, eksploit berasal dari kerentanan oracle off-chain pada feed harga rsETH/ETH, yang berpotensi disuplai oleh Chainlink. Analis keamanan mencatat konfigurasi oracle mencakup "interval heartbeat kuno dan ambang deviasi yang luas," sehingga memungkinkan penyimpangan harga signifikan sebelum pembaruan dipicu.
Metode serangannya sendiri cukup canggih. Dengan menggunakan flash loan - pinjaman tanpa jaminan yang harus dikembalikan dalam satu transaksi - peretas menggembungkan nilai jaminan berdasarkan data oracle yang salah. Karena protokol menilai setoran 0,02 wrstETH kecil tersebut lebih dari $116.000, penyerang dapat meminjam 20 wstETH per transaksi, menguras cadangan Moonwell melalui banyak operasi.
Analis blockchain meyakini bot MEV (maximal extractable value) mungkin terlibat dalam mengidentifikasi dan mengeksploitasi kerentanan ini, menyoroti bagaimana sistem trading otomatis dapat dengan cepat memanfaatkan kelemahan protokol.
Krisis Keamanan DeFi yang Lebih Luas
Eksploit Moonwell terjadi di tengah periode yang sangat bergejolak bagi keuangan terdesentralisasi. Hanya satu hari sebelumnya, pada 3 November, Balancer mengalami peretasan dahsyat senilai $128 juta yang memengaruhi pool V2 di beberapa blockchain termasuk Ethereum, Berachain, Arbitrum, Base, Optimism, dan Polygon.
Serangan Balancer mengeksploitasi kerentanan kontrol akses yang rusak pada "boosted pools" dan fungsi "manageUserBalance" protokol, meskipun codebase telah menjalani 11 audit keamanan terpisah sejak 2021. Kenyataan ini menunjukkan bahwa bahkan audit ekstensif sekalipun tidak dapat menjamin keamanan protokol.
Selain itu, Berachain, blockchain Layer 1 yang kompatibel dengan Ethereum, mengalami eksploit terkait tripool Ethena/Honey. Berachain Foundation untuk sementara menghentikan jaringannya guna mencegah kerusakan lebih lanjut, dengan Chief Smokey Officer Smokey The Bera menjelaskan: "Ketika sekitar $12 juta dana pengguna berisiko... kami berupaya mengoordinasikan validator set untuk melindungi pengguna tersebut."
Secara keseluruhan, tiga insiden pada awal November 2025 ini menghapus setidaknya $222 juta dari protokol DeFi, menurut The Block, dan mengungkap sifat keterhubungan yang dalam antara sistem likuiditas dan jaminan di berbagai jaringan blockchain.
Pemikiran Akhir
Meskipun data PeckShield menunjukkan kerugian peretasan DeFi turun 85,7% pada Oktober menjadi $18,18 juta di 15 insiden - turun dari lebih $127 juta pada September - serangan November membuktikan bahwa kerentanan signifikan masih bertahan. Manipulasi oracle dan eksploit flash loan tetap menjadi vektor serangan paling efektif terhadap protokol DeFi.
Para ahli industri berpendapat insiden ini kemungkinan akan mempercepat seruan untuk persyaratan validasi oracle yang lebih ketat dan sistem verifikasi harga multi-sumber. Protokol DeFi mungkin perlu menerapkan pemeriksaan kewajaran harga yang lebih kuat, interval heartbeat lebih cepat untuk pembaruan oracle, dan circuit breaker yang menghentikan operasi ketika pergerakan harga tidak biasa terdeteksi.
Secara khusus bagi Moonwell, jalan untuk membangun kembali kepercayaan tampak menantang. Dengan total value locked turun dari hampir $400 juta di puncak menjadi sekitar $234 juta sebelum serangan terbaru, dan penurunan lebih lanjut yang diantisipasi, protokol menghadapi tekanan untuk menerapkan peningkatan keamanan menyeluruh dan berpotensi memberi kompensasi kepada pengguna yang terkena dampak.
Eksploit November 2025 menjadi pengingat tegas bahwa meskipun sudah bertahun-tahun pengembangan dan miliaran dolar terkunci di protokol DeFi, sektor ini tetap rentan terhadap serangan canggih. Seiring adopsi tumbuh dan lebih banyak modal institusional mengalir ke keuangan terdesentralisasi, kebutuhan akan langkah-langkah keamanan yang lebih kuat, sistem oracle yang lebih baik, dan manajemen risiko yang lebih komprehensif menjadi semakin kritis.