El protocolo Moonwell perdió 8,7 millones de dólares tras una manipulación del token MAMO

Un atacante convirtió el mercado relativamente pequeño del token MAMO en una fuente de préstamos multimillonarios: en pocas horas infló el valor del colateral en Moonwell, pidió prestados activos por $11 millones y retiró de la red Base alrededor de $8,7 millones en USDC.

Según el análisis publicado en el análisis del incidente, el ataque ocurrió el 27 de agosto y combinó inmediatamente dos manipulaciones. Primero el atacante acumuló MAMO y depositó oficialmente en Moonwell alrededor de 15,1 millones de tokens, recibiendo a cambio tokens de recibo mMAMO. Luego otros 53,4 millones de MAMO fueron enviados directamente al contrato mMAMO sin acuñar nuevas participaciones.

La transferencia directa cambió bruscamente la relación entre la cantidad de mMAMO y los activos subyacentes. El tipo de cambio aumentó aproximadamente 3,68 veces, y el límite de depósito de 20 millones de MAMO no ayudó: Moonwell comprobaba la restricción solo durante la emisión habitual de mMAMO y no tenía en cuenta los tokens enviados directamente a la dirección del contrato. Una mecánica similar con inflación de participaciones se había usado antes contra otros protocolos DeFi.

Al mismo tiempo, carteras vinculadas compraban activamente MAMO en exchanges descentralizados. Debido a la baja liquidez, el precio que llegó al oráculo de precios de Moonwell subió aproximadamente de $0,0106 a $0,431, es decir, más de 40 veces. Como resultado, el protocolo vio simultáneamente más MAMO por cada mMAMO y un incremento múltiple en el valor del propio token.

El atacante controlaba alrededor de tres cuartas partes de todos los mMAMO emitidos, por lo que la mayor parte del valor creado artificialmente recayó sobre su colateral. Con el precio máximo aceptado por Moonwell, la posición se valoró en aproximadamente $22,3 millones y permitió pedir prestado alrededor de $11,2 millones. En total el atacante realizó 18 préstamos en cbBTC, WETH, USDC y wstETH por un valor conjunto de $11,03 millones.

El mercado de MAMO apareció en Moonwell en octubre de 2025. En la propuesta original los desarrolladores advertían directamente sobre la alta volatilidad del token y la liquidez relativamente baja. Precisamente la escasa profundidad del mercado permitió posteriormente que compras grandes desplazaran tanto el precio de MAMO.

Los activos obtenidos por el atacante fueron intercambiados a través de varias plataformas. Luego, desde Base mediante Circle CCTP se retiraron 8 729 454 USDC en dos transferencias casi idénticas. En Ethereum llegaron alrededor de 8,728 millones de USDC, tras lo cual toda la suma se convirtió en DAI y se envió a una cartera vinculada. Los analistas estiman un aumento del saldo rastreado del atacante de aproximadamente $6,785 millones respecto al capital inicial.

Para preparar la operación, la cartera vinculada recibió alrededor de 800 ETH a través de Tornado Cash. De esos, 799 ETH se intercambiaron por aproximadamente $1,947 millones en USDC, que se convirtieron en el principal capital externo del ataque. Las compras adicionales de MAMO por un total de alrededor de $7,5 millones se financiaron en parte con activos ya tomados prestados de Moonwell.

La liquidación de la posición comenzó solo 32 segundos después del último préstamo exitoso. En los minutos siguientes se produjeron 595 liquidaciones, que saldaron parte de las obligaciones y se quedaron con casi todos los mMAMO del atacante. A pesar de las liquidaciones, en el momento de la preparación del postmortem en Moonwell quedaban alrededor de $9,13 millones de deuda sin pagar, que el equipo considera como un posible déficit.

Tras detectar el problema, Moonwell redujo los límites de nuevos préstamos en los mercados principales de Base a 1 wei, deteniendo de hecho la concesión de créditos, y además estableció límites mínimos para el depósito de MAMO y WELL. El equipo sigue rastreando los fondos y prepara medidas adicionales para la restauración de los mercados y la cobertura de las consecuencias del incidente.