Oracle-Fehler hinterlässt DeFi-Kreditgeber Moonwell mit 1,8 Millionen US-Dollar an uneinbringlichen Forderungen
Kurzfassung
- Ein falsch konfigurierter Orakelpreis setzte cbETH auf etwa 1 US-Dollar statt auf ungefähr 2.200 US-Dollar.
- Liquidationen beschlagnahmten 1096,317 cbETH und vernichteten die Sicherheiten der Kreditnehmer.
- Das Protokoll blieb mit 1,78 Millionen US-Dollar an uneinbringlicher Forderung zurück, die auf eine Governance-Änderung wartete.
Ein Preisfehler am Sonntagmorgen führte zu einem Mehrmillionen-Dollar-Kopfschmerz für die DeFi-Kreditplattform Moonwell, nachdem ein „falsch konfiguriertes Orakel“ Coinbase Wrapped ETH (cbETH) kurzzeitig auf nur 1 US-Dollar bewertete. Der Preisfehler führte zu einem Abschlag von 99,9 % gegenüber dem tatsächlichen Marktwert des Vermögenswerts von etwa 2.200 US-Dollar. Der Fehler löste eine Welle von Liquidationen aus, die letztlich dazu führte, dass die Plattform etwa 1,78 Millionen US-Dollar an uneinbringlicher Forderung aufwies. „Sobald der Fehler erkannt wurde, handelte unser Risikomanager @anthiasxyz schnell, um das cbETH-Ausleihlimit auf 0,01 zu reduzieren, um weiteres Risiko für das Protokoll zu begrenzen“, schrieb Moonwell am Montag auf X. „Das Angebotlimit wurde ebenfalls auf 0,01 reduziert, um zu verhindern, dass neue Nutzer unwissentlich in den betroffenen Markt einspeisen.“
In einem Forumbeitrag von Moonwell am Montag berichtete die Risikomanagement-Firma Anthias Labs, dass der Fehler am 15. Februar um 18:01 UTC auftrat, als der Moonwell DAO-Governance-Vorschlag MIP-X43 ausgeführt wurde, der Chainlink OEV-Wrap-Contracts in den Märkten auf Base und Optimism aktivierte. Einer dieser Orakel war falsch konfiguriert und konnte den USD-Wert von cbETH nicht korrekt bewerten. Moonwell erklärte, dass das System anstelle der Multiplikation des cbETH/ETH-Feeds mit dem ETH/USD-Preis nur den rohen cbETH/ETH-Austauschkurs verwendete. Dadurch meldete das Orakel cbETH bei etwa 1,12 US-Dollar. Handelsbots begannen, Positionen mit cbETH-Sicherheiten anzugreifen, und da das System glaubte, cbETH sei nur etwas über 1 US-Dollar wert, konnten Liquidatoren etwa 1 US-Dollar Schulden zurückzahlen, um insgesamt 1096,317 cbETH zu beschlagnahmen, so das Unternehmen. „Dies vernichtete die meisten oder alle Sicherheiten in cbETH vieler Kreditnehmer, während gleichzeitig erhebliche uneinbringliche Forderungen auf ihren Positionen verblieben, da der zurückgezahlte Betrag deutlich unter dem tatsächlichen Kreditwert lag“, schrieb Anthias Labs.
Die verzerrte Preisgestaltung ermöglichte auch eine Ausnutzung. „Eine kleinere Anzahl von Nutzern nutzte die verzerrte Preisgestaltung aus, um minimale Sicherheiten zu hinterlegen, cbETH massiv überzuborrown bei dem künstlich niedrig gemeldeten Preis und sofort zusätzliche uneinbringliche Forderungen in cbETH zu generieren“, fügte das Unternehmen hinzu. Während das falsch konfigurierte Orakel den Großteil der Schuld trug, begannen Nutzer auf X, Bilder des MIP-X43 zu verbreiten, die angeblich von Claude Opus 4.6 mitverfasst wurden, wobei einige von einem „Vibe-Coding“-Fehler sprachen. Auf Nachfrage von Decrypt zu dem Fehler und der daraus resultierenden Ausnutzung lehnte ein Sprecher von Moonwell eine Stellungnahme ab. Insgesamt verbleiben bei Moonwell laut Beitrag 1.779.044 US-Dollar an uneinbringlicher Forderung in verschiedenen Märkten. Laut Moonwell wird eine kommende Governance-Abstimmung die Konfiguration des Orakels nach Ablauf der erforderlichen Timelock-Periode klären. Moonwell ist das neueste Projekt in einer wachsenden Liste von DeFi-Projekten, die aufgrund falsch konfigurierter Orakel ausgenutzt wurden. Im Dezember verlor Ribbon Finance etwa 2,7 Millionen US-Dollar, nachdem eine Dezimalstellen-Missachtung bei einem Orakel-Upgrade die Asset-Bewertung verzerrte und eine Überbesicherung ermöglichte. Im Januar wurde die DeFi-Plattform Makina Finance durch Flash-Loan-gesteuerte Orakel-Manipulation ausgenutzt, wodurch ein Angreifer rund 4 Millionen US-Dollar in ETH extrahieren konnte.