Le protocole de prêt Moonwell a subi une perte estimée à 8,7 millions de dollars à la suite d’un hack jeudi. Aucun smart contract n’a été compromis. Un attaquant a simplement fait paraître le MAMO, un petit token sur Base, beaucoup plus précieux qu’il ne l’est réellement.
Ce prix gonflé a permis à l’attaquant d’emprunter des actifs réels, dont le Coinbase Wrapped Bitcoin (cbBTC) et l’USD Coin (USDC). La société de sécurité Blockaid a détecté l’activité et Moonwell a gelé les nouveaux emprunts en quelques heures.
Comment s’est déroulé le hack de Moonwell
L’astuce portait sur le prix, non sur le code. Blockaid a indiqué que l’attaquant avait manipulé la valorisation du MAMO utilisé comme collatéral afin de vider le marché mCBTC de Moonwell en cbBTC. Leur première estimation faisait état de 50,6 cbBTC dérobés, soit plus de 4 millions de dollars.
MAMO est le token du protocole Mamo, un outil de rendement construit sur Base. Tous les MAMO en circulation valent environ 7,6 millions de dollars au total, et le token s’échange autour de 0,011366 dollar. Un marché aussi réduit est facile à manipuler.
Cela constituait la totalité de l’attaque : faire grimper artificiellement le MAMO sur des marchés peu liquides, le déposer comme collatéral à ce prix fictif, puis emprunter des actifs ayant une réelle valeur. L’oracle de Moonwell, le système qui transmet les prix au protocole, s’est fait piéger par cette manipulation.
La société de sécurité PeckShield a ensuite évalué les pertes totales à 8,7 millions de dollars. Soit davantage que la capitalisation totale de l’ensemble des tokens MAMO. Selon PeckShield, les fonds se trouvent désormais sous forme de stablecoin DAI sur un wallet commençant par 0xD71d.
Les plafonds d’emprunt réduits à un wei alors que débute la question des récupérations
Moonwell a reconnu l’incident dans un post, indiquant qu’ils travaillaient déjà à stopper l’hémorragie.
« Nous sommes conscients d’un problème affectant le Core Market MAMO sur Base et menons actuellement une enquête approfondie. Par précaution, les plafonds d’emprunt pour tous les Core Markets sur Base ont été fixés à 1 wei, empêchant tout nouvel emprunt et limitant les risques de nouveaux dommages », a écrit l’équipe.
Un wei est la plus petite unité possible. Ce changement bloque ainsi toute nouvelle demande de prêt, sans toucher aux retraits. Les plafonds d’apport pour MAMO et WELL, le token de gouvernance de Moonwell, sont également tombés à un wei.
Le hack de jeudi n’est pas une première. Ce sont les mauvais prix, davantage que de mauvaises lignes de code, qui continuent de coûter cher à Moonwell. En novembre 2025, un dysfonctionnement de l’oracle wrsETH avait généré environ 3,7 millions de dollars de mauvaises créances. Une mauvaise configuration de l’oracle cbETH avait ajouté 1,78 million supplémentaire en février. Les problèmes de valorisation ont désormais coûté plus de 14 millions de dollars au protocole en dix mois.
L’ensemble du secteur révèle la même faiblesse. Term Labs a perdu environ 8,5 millions de dollars lors d’un hack de gouvernance dimanche. Les analystes pointent de plus en plus les défauts de conception économique plutôt que des failles de code derrière les plus grandes pertes de la DeFi.
Moonwell assure qu’une nouvelle mise à jour est en préparation. Deux chiffres diront toute la vérité : tout d’abord, le montant final des mauvaises créances une fois le prix du MAMO rétabli ; ensuite, la quantité de cbBTC et d’USDC restant pour les fournisseurs souhaitant se retirer.
