Platforma zdecentralizowanych finansów Moonwell padła ofiarą ataku na 1 milion dolarów 4 listopada 2025 r., ujawniając krytyczne luki w tym, jak protokoły DeFi polegają na zewnętrznych danych cenowych. Atak był wymierzony w operacje protokołu pożyczkowego w sieciach Base i Optimism, wyczerpując środki poprzez zaawansowany atak z wykorzystaniem flash pożyczek, który manipulował wyroczniami cenowymi.
Incydent rozwinął się, gdy firma zajmująca się bezpieczeństwem blockchain BlockSec wykryła podejrzane transakcje wymierzone w smart kontrakty Moonwell. Zgodnie z ich analizą, atakujący wykorzystali wadliwy kanał wyroczni rsETH/ETH, który błędnie raportował cenę wrapped restaked ETH (wrstETH) na poziomie około 5,8 mln dolarów za token – była to ogromna przewartościowanie w porównaniu z faktyczną ceną rynkową poniżej 3 500 dolarów dla bazowego ETH.
Wykorzystując ten błąd cenowy, haker przeprowadził powtarzające się ataki z użyciem flash pożyczek, które pozwoliły mu pożyczać znaczne ilości kryptowalut przy minimalnym zabezpieczeniu. Firma CertiK poinformowała, że atakujący „był w stanie wielokrotnie pożyczać ponad 20 wstETH, mając jedynie ~0,02 wrstETH zaciągnięte w ramach flash pożyczki i zdeponowane” dzięki błędnemu działaniu wyroczni.
Ostatecznie atak przyniósł hakerowi około 295 ETH, wycenianych na około 1 milion dolarów.
Wzorzec podatności
To najnowsze naruszenie jest czwartym poważnym incydentem bezpieczeństwa Moonwell w ciągu trzech lat, co rodzi poważne pytania o infrastrukturę bezpieczeństwa protokołu. Platforma wcześniej straciła 1,7 mln dolarów w październiku 2025 r. podczas krachu rynkowego wywołanego zapowiedzią ceł, kiedy rozjazdy cen między wyroczniami a DEX-ami pozwoliły atakującym wykorzystać mechanizmy likwidacji.
W grudniu 2024 r. Moonwell padł ofiarą ataku z użyciem flash pożyczek o wartości 320 000 dolarów, wymierzonego w kontrakt pożyczkowy USDC, gdzie złośliwy kontrakt podszywający się pod „mToken” przyznał nieautoryzowane zgody na tokeny. Atakujący użył Tornado Cash do zasilenia portfela i szybko wymienił skradzione USDC na DAI, zanim organy mogły zareagować.
Protokół miał również problemy związane z incydentem Nomad Bridge w 2022 r., choć dokładna skala finansowa pozostaje niejasna. Ten niepokojący bilans skłonił audytora bezpieczeństwa QuillAudits do stwierdzenia: „Kolejny dzień, kolejny exploit na Moonwell. 4. poważny incydent w 3 lata.”
Wpływ na rynek i zaufanie inwestorów
Eksploit natychmiast wstrząsnął ekosystemem Moonwell. Token WELL zanurkował o 13,5% w ciągu jednego dnia po ogłoszeniu ataku, co było wynikiem znacznie gorszym niż 3,95% spadek szerokiego rynku kryptowalut. Na 4 listopada WELL był notowany w okolicach 0,0155 dolara, co oznacza spadek o 51% w ciągu ostatniego miesiąca i łączny spadek od historycznych maksimów o ponad 96%.
Moment okazał się szczególnie niefortunny dla Moonwell, który właśnie raportował rekordowe przychody z opłat w październiku, dystrybuując 2,12 mln dolarów do pożyczkodawców i rezerw w sieciach Base i Optimism. Platforma przypisała ten sukces „rosnącemu popytowi na pożyczki → wyższym stawkom → większym przychodom → większej ilości WELL nabywanej w aukcjach rezerw każdego miesiąca”. Jednak ostatni wyciek bezpieczeństwa przyćmił te pozytywne dane i wzbudził obawy o odpływ kapitału z protokołu.
Dodatkowo, niepokój inwestorów potęgował fakt, że Moonwell zakończył program bug bounty na Immunefi wcześniej w 2025 r., zaledwie kilka miesięcy przed tymi poważnymi atakami. Ta decyzja wydaje się teraz wątpliwa w świetle późniejszych porażek w obszarze bezpieczeństwa.
Problem wyroczni w DeFi
Incydent Moonwell podkreśla fundamentalne wyzwanie stojące przed zdecentralizowanymi finansami: zależność od zewnętrznych źródeł danych zwanych wyroczniami. Systemy te dostarczają smart kontraktom informacje ze świata rzeczywistego, takie jak ceny aktywów, ale jednocześnie wprowadzają potencjalne punkty krytyczne.
W tym przypadku atak miał źródło w podatności poza łańcuchem w kanale cenowym rsETH/ETH, prawdopodobnie dostarczanym przez Chainlink. Analitycy bezpieczeństwa zauważyli, że konfiguracja wyroczni obejmowała „archaiczne interwały heartbeat i szerokie progi odchylenia”, co pozwalało na istotne odchylenia cen przed wywołaniem aktualizacji.
Sam sposób ataku był zaawansowany. Wykorzystując flash pożyczki – niekolidowane pożyczki, które muszą zostać spłacone w ramach jednej transakcji – haker zawyżał wartość zabezpieczeń na podstawie błędnych danych z wyroczni. Ponieważ protokół wyceniał zaledwie 0,02 wrstETH depozytu na ponad 116 000 dolarów, atakujący mógł pożyczyć 20 wstETH na transakcję, drenując rezerwy Moonwell w wielu operacjach.
Analitycy blockchain uważają, że boty MEV (maximal extractable value) mogły uczestniczyć w identyfikowaniu i wykorzystywaniu tej podatności, co pokazuje, jak zautomatyzowane systemy tradingowe potrafią błyskawicznie wykorzystać słabości protokołów.
Szerszy kryzys bezpieczeństwa DeFi
Eksploit Moonwell miał miejsce w wyjątkowo burzliwym okresie dla zdecentralizowanych finansów. Zaledwie dzień wcześniej, 3 listopada, Balancer poniósł druzgocący atak o wartości 128 mln dolarów, dotykający jego pule V2 na wielu łańcuchach, w tym Ethereum, Berachain, Arbitrum, Base, Optimism i Polygon.
Atak na Balancer wykorzystał wadliwą kontrolę dostępu w „boosted pools” protokołu oraz funkcji „manageUserBalance”, pomimo że kod był poddany 11 osobnym audytom bezpieczeństwa od 2021 r. Ta lekcja pokazała, że nawet szeroko zakrojone audyty nie gwarantują bezpieczeństwa protokołu.
Dodatkowo Berachain, kompatybilny z Ethereum blockchain warstwy 1, padł ofiarą exploita związanego z tripulem Ethena/Honey. Fundacja Berachain tymczasowo wstrzymała działanie sieci, aby zapobiec dalszym szkodom, a Chief Smokey Officer Smokey The Bera wyjaśnił: „Gdy około 12 mln dolarów środków użytkowników jest zagrożonych... próbowaliśmy skoordynować zestaw walidatorów, aby chronić tych użytkowników.”
Wspólnie te trzy incydenty z początku listopada 2025 r. wymazały co najmniej 222 mln dolarów z protokołów DeFi, według The Block, ujawniając głęboko powiązany charakter systemów płynności i zabezpieczeń w sieciach blockchain.
Ostatnie uwagi
Podczas gdy dane PeckShield pokazują, że straty z hacków w DeFi spadły w październiku o 85,7% do 18,18 mln dolarów w 15 incydentach – z ponad 127 mln dolarów we wrześniu – ataki z listopada pokazują, że istotne luki nadal istnieją. Manipulacja wyroczniami i exploity z wykorzystaniem flash pożyczek pozostają jednymi z najskuteczniejszych wektorów ataku na protokoły DeFi.
Eksperci branżowi twierdzą, że te incydenty prawdopodobnie przyspieszą wezwania do zaostrzenia wymogów walidacji wyroczni oraz systemów weryfikacji cen z wielu źródeł. Protokoły DeFi mogą potrzebować wdrożyć bardziej rygorystyczne testy „sanity check” dla cen, krótsze interwały heartbeat dla aktualizacji wyroczni oraz wyłączniki awaryjne, które wstrzymają operacje przy wykryciu nietypowych ruchów cen.
W przypadku Moonwell droga do odbudowy zaufania wydaje się trudna. Przy spadku całkowitej zablokowanej wartości z prawie 400 mln dolarów w szczytowym momencie do około 234 mln dolarów przed ostatnim atakiem i oczekiwanych dalszych spadkach, protokół stoi pod presją wdrożenia kompleksowych usprawnień bezpieczeństwa i potencjalnego zrekompensowania strat poszkodowanym użytkownikom.
Wydarzenia z listopada 2025 r. stanowią surowe przypomnienie, że pomimo lat rozwoju i miliardów dolarów zablokowanych w protokołach DeFi, sektor pozostaje podatny na wyrafinowane ataki. W miarę jak rośnie adopcja i coraz więcej kapitału instytucjonalnego napływa do zdecentralizowanych finansów, potrzeba silniejszych zabezpieczeń, lepszych systemów wyroczni i bardziej kompleksowego zarządzania ryzykiem nigdy nie była tak pilna.