Sorotan

  • Teknik peretas mengandalkan likuiditas tipis token MAMO, bukan bug smart contract di kode inti Moonwell.
  • Menggelembungkan harga on-chain MAMO memungkinkan peretas meminjam cbBTC, USDC, dan DAI jauh melebihi nilai kolateral riil yang disetorkan.
  • Ini adalah eksploitasi terkait oracle ketiga yang berbeda terhadap Moonwell dalam kurang dari setahun, setelah insiden November 2025 dan awal tahun ini.
  • Pola ini menunjukkan kelemahan struktural dalam cara pasar lending Base memberi harga pada kolateral baru yang minim likuiditas.

Dana $8,7 juta yang terkuras dari pasar lending Base milik Moonwell pada 27 Agustus bukan akibat smart contract yang rusak — melainkan masalah pricing. Analisis Crypto Banter, yang mengacu pada pemantauan CertiK dan Blockaid, menjabarkan bahwa peretas menggelembungkan harga MAMO, token yang relatif minim likuiditas dan diterima sebagai kolateral di Moonwell, lalu meminjam aset riil yang likuid dengan menjaminkan posisi yang telah digelembungkan secara artifisial itu. Karena MAMO diperdagangkan di pasar yang tipis, menggerakkan harga tercatatnya membutuhkan modal yang relatif kecil — dan begitu oracle mencerminkan harga yang telah digelembungkan tersebut, logika lending Moonwell memperlakukan peretas seolah-olah aman dan overkolateralisasi.

MAMO Price Manipulation Exposes a Recurring Flaw in Base Lending Markets
Image via @crypto_banter on X

Pola Serangan yang Sudah Familier

Manipulasi price oracle adalah salah satu pola eksploitasi tertua di DeFi, tapi terus berhasil karena menyasar asumsi ekonomi, bukan kesalahan coding: bahwa feed harga on-chain secara akurat mencerminkan nilai pasar riil dan dalam suatu aset. Ketika aset kolateral memiliki likuiditas rendah, peretas bermodal cukup bisa menggerakkan harga spotnya secara tajam lewat satu transaksi besar atau flash loan, lalu langsung meminjam dengan menjaminkan valuasi yang telah digelembungkan sebelum harga kembali normal. Laporan awal PANews, mengutip Blockaid, mencatat kerugian tahap pertama yang terdeteksi sekitar 50,6 cbBTC — sekitar $4 juta — sebelum tally terbaru PeckShield membawa total terkonfirmasi ke $8,7 juta seiring terungkapnya pinjaman tambahan yang menjaminkan posisi MAMO yang sama.

Kegagalan Ketiga Moonwell

Yang membedakan insiden ini adalah bahwa ini bukan pengalaman pertama Moonwell dengan risiko oracle. Pada November 2025, seorang peretas menyalahgunakan feed harga wstETH/wrsETH yang cacat sehingga keliru menilai deposit hasil flash loan senilai $5,8 juta, membawa kabur untung sekitar 295 ETH. Terpisah, sebuah proposal governance salah mengonfigurasi oracle cbETH sehingga memberi harga aset itu $1,12, padahal nilai riilnya sekitar $2.200, merugikan protokol $1,78 juta. Tiga kegagalan pricing kolateral yang terpisah dalam kurang dari setahun, masing-masing melibatkan aset berbeda dan mekanisme spesifik yang berbeda, menunjukkan bahwa proses review oracle dan listing aset protokol ini belum mampu mengimbangi kecepatan token baru yang minim likuiditas disetujui sebagai kolateral pinjaman di Base.

Baca juga: Core Lightning Minta Operator Node Patch atau Offline Usai Bug Ditemukan AI

Kenapa Pasar Lending Base Terus Jadi Sasaran

Base telah menarik gelombang peluncuran token baru dan aktivitas DeFi sepanjang tahun terakhir, dan protokol lending yang bersaing memperebutkan volume itu menghadapi tekanan untuk cepat me-listing aset kolateral baru demi menangkap deposit yang mencari yield. Dinamika kompetitif itu justru bertentangan langsung dengan kehati-hatian yang dibutuhkan keamanan oracle: token yang baru diluncurkan seperti MAMO mungkin belum memiliki kedalaman trading di cukup banyak venue agar oracle time-weighted atau multi-sumber bisa menahan manipulasi, namun me-listingnya sebagai kolateral bisa menjadi pendorong pertumbuhan yang berarti bagi protokol yang mengejar TVL. Sampai pasar lending berbasis Base mengadopsi standar listing kolateral yang lebih ketat — ambang batas likuiditas minimum yang lebih dalam, batas pinjaman yang diskalakan sesuai kedalaman pasar riil, atau circuit breaker wajib pada pergerakan harga cepat — kolateral yang minim likuiditas akan tetap menjadi target paling lunak di chain ini.

Yang Perlu Dipantau

Pertanyaan langsung yang mengemuka adalah apakah Moonwell akan mempublikasikan post-mortem teknis yang menyebutkan konfigurasi oracle spesifik yang dieksploitasi, seperti yang mereka lakukan setelah insiden wstETH/wrsETH. Dalam jangka lebih panjang, perlu dipantau apakah protokol lending lain di Base — beberapa di antaranya memiliki praktik listing kolateral yang serupa — akan bergerak lebih dulu memperketat persyaratan oracle untuk token minim likuiditas sebelum menjadi target berikutnya, serta apakah wallet DAI milik peretas menunjukkan pergerakan menuju bridge atau mixer dalam beberapa hari mendatang.