レンディングプロトコル「ムーンウェル」が木曜日に推定870万ドルの被害を受けた。不正利用によるものだが、スマートコントラクト自体は破られていない。攻撃者はBaseで運用される小規模トークン「MAMO」の価格を実態以上に高く見せかけた。
この不正な高騰により、攻撃者はコインベース・ラップド・ビットコイン（cbBTC）やUSDコイン（USDC）などの実際に価値のある資産を借りることができた。セキュリティ企業Blockaidがこの活動を察知し、ムーンウェルは数時間以内に新たな借入を凍結した。
ムーンウェルで何が起きたか
手口は価格の操作であり、コードではない。Blockaidによると、攻撃者がMAMOの担保価格を操作し、ムーンウェルのmCBTC市場からcbBTCを引き出した。同社の当初の試算では、50.6cbBTC（400万ドル超）が失われた。
MAMOは、Base上で構築された利回りツール「Mamo」の独自トークンである。全MAMOの時価総額は約760万ドル、市場価格は0.011366ドル前後。市場規模が小さいため、価格操作が容易だった。
攻撃の全容はこうだ。薄い流動性を狙ってMAMOを高騰させ、その偽りの価格で担保として差し入れ、実際に価値ある資産を借りた。ムーンウェルのオラクル（価格データをプロトコルに提供する仕組み）はこの高騰を信じてしまった。
その後、セキュリティ企業PeckShieldは被害総額を870万ドルと推定した。これは全MAMOの時価総額を上回る。同社によると、これらの資金は現在、DAIステーブルコインとしてアドレス「0xD71d」から始まるウォレットに保管されている。
全借り入れ上限を1weiに引き下げ、回復に向けた対応始まる
ムーンウェルは公式投稿でこの問題を認め、既に流出拡大の抑制に取り組んでいると示した。
「BaseのMAMOコアマーケットに影響する問題を把握しており、積極的に調査中。予防措置として、Baseすべてのコアマーケットにおける借入上限を1weiに設定し、新たな借入を停止するとともに影響の拡大を防いだ」と公式X（旧Twitter）で述べた。
1weiは最小単位。この設定により新規貸し出しをすべて停止し、出金には影響しない。MAMOとムーンウェルのガバナンストークンWELLについても供給上限を1weiまで引き下げた。
今回の流出は初めてではない。価格データの誤りが、コード上のバグではなく、度重なる損失の原因となっている。2025年11月にはwrsETHオラクルの不具合によって約370万ドルの不良債権が生じ、2026年2月にはcbETHオラクル設定ミスで178万ドルを追加で損失した。価格算定失敗による累計損失は直近10か月で1400万ドルを超える。
この脆弱性は業界全体にも広がる。Term Labsは日曜日、ガバナンスに関する不正利用で約850万ドルを失った。アナリストはDeFi最大の損失の主因がコードではなく経済設計の失敗にあると見方を強めている。
ムーンウェルは今後も随時情報発信するとしている。最終的な不良債権（MAMO価格確定後）と、撤退を望む供給者向けcbBTC・USDC残高――この2点が今後の焦点となる見通し。
