Кошмар Moonwell на 1,12 долара: Помилка в ціноутворенні дозволила ботам захопити мільйони в ефірі як заставу

Помилка в ціноутворенні, що тривала лише кілька хвилин, призвела до того, що DeFi-кредитор Moonwell зазнав майже 1,8 мільйона доларів збитків через поганий борг після того, як програмна помилка спричинила падіння вартості Coinbase Wrapped ETH (cbETH) до $1 замість приблизно $2 200 на платформі.

Технічна помилка сталася через оновлення системи, яке призвело до того, що платформа оцінювала cbETH лише на основі його співвідношення з ETH (приблизно 1,12), забуваючи врахувати фактичну ціну ефіру в доларах США.

Внаслідок цього протокол оцінив cbETH приблизно у $1.12, згідно з підсумок інциденту.

Проблема почалася, коли пропозиція щодо управління дозволила нові конфігурації оракула Chainlink на ринках Moonwell у мережах Base та Optimism. Оракул — це інструмент, який отримує дані в режимі реального часу перед тим, як вони додаються до блокчейну.

У кредитних протоколах, таких як Moonwell, користувачі депонують активи, такі як cbETH, як заставу та позичають інші токени під них. Якщо вартість застави падає нижче необхідних порогів, позиції автоматично ліквідуються ботами, які погашають борг і вилучають заставу зі знижкою.

Як тільки cbETH, здавалося, обвалився з понад $2,000 до трохи більше $1, ліквідаційні боти діяли миттєво. Оскільки протокол вважав токен майже безцінним, ліквідатори змогли погасити приблизно $1 боргу, щоб захопити один cbETH.

Менеджер з ризиків Anthias Labs повідомив, що було конфісковано 1,096.317 cbETH (2.44 мільйона доларів США), що призвело до втрати застави позичальника та залишило протокол із проблемною заборгованістю на кількох ринках.

Спотворене ціноутворення також дозволило невеликій групі користувачів внести мінімальний обсяг застави та позичати cbETH за штучно заниженою оцінкою, що додатково збільшило збитки.

Moonwell знизила ліміти на пропозицію та позики за кілька хвилин, щоб обмежити збитки. Втім, для виправлення оракула знадобилося голосування управління та п’ятиденний таймлок, що унеможливило негайне виправлення.

Цей епізод є останнім нагадуванням про те, що оракли цін є базовою інфраструктурою та ключовою точкою відмови для DeFi-застосунків. Коли вони працюють некоректно, смарт-контракти виконують саме те, для чого їх запрограмовано, але балансова звітність несе наслідки.

Тим часом аудитор з питань безпеки Крум Пашов зазначив, що Коміти GitHub, пов’язані з пропозицією, були спільно авторизовані Клодом Опусом 4.6, помічник з кодування на базі ШІ, що спричинив дискусію щодо того, чи сприяло автоматизоване «vibe coding» помилковій логіці оракула.