Moonwell 遭攻击损失870万美元,攻击者借出比特币(BTC)

直接转账绕过供应上限

借贷协议Moonwell周四在Base网络上损失约870万美元。链上痕迹显示,攻击者根本没有触碰协议的供应限制——这是一次结构性的漏洞利用。安全研究机构CertiK与Blockaid将资金流出归因于对MAMO的价格操纵:这是一种流动性极低的代币,Moonwell将其接受为抵押品,而这类低流动性资产还包括Shiba Inu、dogwifhat等memecoin。PeckShield则独立估算损失同样为870万美元。截至周五早间,被盗资金集中于一个以太坊地址,持有约873万枚DAI。漏洞的机制并不复杂。Moonwell对通过正常存款路径存入的MAMO设有上限,但这一限制只在存款人铸造份额(share)时才被校验。UTC时间09:12:59,攻击者先合法存入710万枚MAMO,获得3.46亿枚份额,随后停止存款。链上记录显示,UTC时间09:19:59,攻击者将34,910,397枚MAMO直接转入市场合约,70秒后又转入18,482,894枚,合计约5300万枚代币。这两笔转账没有铸造任何份额;每笔消耗完全相同的120,017 gas,只触发了一次利息计提事件和一笔代币转账。由于Moonwell运行在Compound v2代码之上,每份份额的价值等于池内资产除以流通份额总数,因此一笔直接转账会同步抬高所有存量份额的价值。该市场的兑换率从0.0205升至0.0755,约膨胀3.7倍,使攻击者手中的3.46亿枚份额得以赎回约2600万枚MAMO。凭借这份被虚增的抵押品,攻击者借出了cbBTC(Coinbase封装的比特币,即BTC)、USDC以及wstETH。

KLA内部人士在下跌中卖出6400万美元

攻击发生的同一周,传统金融领域的一处披露缺口也引发关注。AI芯片设备制造商KLA Corporation自6月30日以来股价累计下跌40%,市值蒸发约1600亿美元——股价从307.37美元的历史最高点跌至183.77美元收盘,市值由4010亿美元缩水至2400亿美元。在同一时间窗口内,SEC文件披露的内部人士减持总额超过6400万美元。总裁Richard Wallace以1740万美元居首;CFO Bren Higgins卖出1390万美元;执行副总裁Brian Lorig与高管Mary Beth Wilkinson各超过1200万美元;半导体产品部门总裁Ahmad Khan卖出660万美元;高级副总裁Virendra Kirloskar卖出180万美元。每笔减持都发生在各自不同的日期和价位,分散于整个下跌过程之中,而非集中在股价崩跌之后——并且在此期间,没有任何一位内部人士进行过一笔公开市场买入。公司方面表示,大部分减持遵循定期安排的薪酬计划,且绝大多数带有Rule 10b5-1声明——这是一种预先编程的交易计划,可作为对抗内幕交易责任抗辩依据,相关框架见SEC关于选择性披露的规则。计划内卖出并不构成看空判断的证据,缺少买入也不必然意味着估值过高——但对追高今夏AI行情的投资者而言,6400万美元流出、0美元流入的不对称格局令人不安:6月30日高点投入的1万美元,如今已不足6000美元。最新一份Form 4表格于8月14日送达EDGAR,对应8月13日的一笔减持,而申报须在交易后两个工作日内提交,因此8月稍晚的交易可能尚未入档。在整个半导体板块,从设备供应商到Arm Holdings等设计公司,这轮回撤正在检验AI溢价还剩下多少。 希望实时跟踪行情的读者，可在MEXC查看现货与合约的实时价格。

借款上限冻结,防线仍付阙如

两条线索的共同点在于:防护措施都在损失造成之后才到位。Moonwell在官方公告中表示,Base上所有Core Markets的借款上限已被设置为1 wei,冻结新增借款以限制进一步影响;而根因——可由上述交易序列直接验证——是供应上限校验只绑定在份额铸造环节。链上数据显示,协议锁仓总价值(TVL)从攻击前约7300万美元降至周五早间的约4500万美元,这一数字是过去一年协议收入约190万美元的数倍。今年6月曾有一份贡献者提案,建议针对预言机价格偏差设置自动熔断机制,最终只收到三条回复,未进入投票。在限额校验覆盖直接转账之前,份额膨胀攻击始终是一扇敞开的大门。