Points clés
- Un attaquant siphonne 9 millions de dollars sur le protocole Moonwell DeFi déployé sur la blockchain Base
- Le mécanisme repose sur une manipulation du prix du token natif MAMO déposé en collatéral
- cbBTC, USDC, wstETH et ETH ont été extraits du protocole sans contrepartie réelle
- Blockaid a détecté l'opération alors qu'elle était toujours en cours
- Le marché mCBTC a perdu 50,6 cbBTC, soit 4 millions de dollars, avant que le bilan total atteigne 9 millions
- Le token MAMO a progressé de 25% en une heure pendant l'attaque
Une manipulation de collatéral en temps réel
L'attaque contre Moonwell DeFi repose sur un mécanisme précis : l'attaquant a manipulé le prix du token natif MAMO déposé en collatéral pour emprunter des actifs sans contrepartie réelle. cbBTC, USDC, wstETH et ETH ont ainsi été extraits du protocole. Au moment de la détection par Blockaid, l'opération était toujours en cours sur la blockchain Base.
Le fonctionnement d'un protocole de prêt décentralisé repose sur la valeur du collatéral déposé par l'emprunteur. Lorsque ce collatéral est un token natif peu liquide comme le MAMO, sa valorisation sur le marché peut être influencée avec des moyens relativement limités. C'est précisément cette caractéristique que l'attaquant a exploitée : en faisant monter artificiellement le prix du MAMO, il a gonflé la valeur théorique de son collatéral, ce qui lui a permis de débloquer des emprunts sans rapport avec la valeur réelle des actifs engagés. Les fonds empruntés, eux, étaient bien réels : cbBTC, USDC, wstETH et ETH ont quitté les réserves du protocole.
Blockaid, qui a détecté l'incident, avait d'abord relevé 50,6 cbBTC drainés du seul marché mCBTC, soit 4 millions de dollars. Ce premier bilan partiel portait uniquement sur ce compartiment du protocole. Le total consolidé de l'exploit atteint 9 millions de dollars, ce qui signifie que d'autres marchés du protocole ont également été touchés au-delà du seul marché mCBTC. Moonwell DeFi est déployé sur Base, la blockchain de Coinbase et le cbBTC concerné est le wrapped Bitcoin émis par cette même plateforme, ce qui place les actifs Coinbase au coeur des pertes enregistrées.
Le paradoxe du token en hausse pendant le pillage
Pendant que l'attaquant vidait les réserves du protocole, le token MAMO a progressé de 25% en l'espace d'une heure. Ce mouvement haussier n'est pas une anomalie anecdotique : il est directement lié au mécanisme d'exploitation. En gonflant artificiellement le prix du MAMO pour maximiser la valeur du collatéral, l'attaquant a mécaniquement fait monter la cotation du token sur le marché. Autrement dit, la hausse du MAMO n'est pas le signe d'un regain d'intérêt pour le protocole, mais la trace visible, sur les marchés, de la manipulation elle-même.
Ce type d'attaque, qui exploite la valorisation d'un actif peu liquide pour débloquer des emprunts disproportionnés, illustre une vulnérabilité structurelle des protocoles de prêt décentralisés acceptant des tokens natifs comme collatéral. La liquidité réduite du MAMO a rendu la manipulation de son prix d'autant plus accessible. Plus un token est peu liquide, moins il faut de capital pour en déplacer significativement le cours et plus la fenêtre d'exploitation est large avant que le marché ne corrige.
La lecture de marché associée à cet événement est baissière, ce qui reflète l'impact direct d'un tel exploit sur la confiance envers le protocole touché et, plus largement, sur les actifs qui y étaient exposés. Les marchés de prédiction signalent par ailleurs une probabilité de 100% qu'un hack dépassant 100 millions de dollars survienne d'ici le 31 décembre, ce qui replace cet incident dans un contexte de pression persistante sur la sécurité des protocoles décentralisés. La cote YES à 30% sur la question de savoir si l'USDC atteindra 50% de la capitalisation de l'USDT d'ici fin 2026 rappelle que l'USDC, directement touché dans cet exploit, reste un actif dont la trajectoire est scrutée par les marchés de prédiction.
