렌딩 프로토콜 문웰(Moonwell)이 목요일에 익스플로잇으로 약 870만 달러를 잃었습니다. 스마트 컨트랙트가 깨진 것은 아니었습니다. 공격자는 단순히 마모(MAMO)라는 소규모 베이스(Base) 토큰의 가치를 실제보다 훨씬 더 높게 보이게 했습니다.
부풀려진 가격 덕분에 공격자는 코인베이스 래핑 비트코인(cbBTC)과 USDC(USD 코인) 등 실제 자산을 대출받을 수 있었습니다. 보안 회사 블록에이드(Blockaid)가 이 활동을 감지했고, 문웰은 몇 시간 만에 신규 대출을 중단했습니다.
문웰 익스플로잇 작동 방식
트릭은 코드가 아니라 가격에 있었습니다. 블록에이드는 공격자가 마모(MAMO) 담보의 가격을 조작해 문웰의 mCBTC 시장에서 cbBTC를 빼내갔다고 밝혔습니다. 첫 번째 추정치는 50.6 cbBTC가 사라졌으며 이는 400만 달러 이상에 해당합니다.
마모(MAMO)는 베이스(Base) 위에 구축된 수익 도구 마모(Mamo)의 토큰입니다. 모든 마모의 총 가치는 약 760만 달러이며, 한 개당 거래 가격은 약 0.011366달러입니다. 이렇게 작은 시장은 쉽게 가격을 끌어올릴 수 있습니다.
이것이 전체 공격의 전부였습니다. 유동성이 얇은 시장에서 마모 가격을 올리고, 이 토큰을 허위 가격으로 담보로 제공해 실제로 가치가 있는 자산을 대출받았습니다. 문웰의 오라클(프로토콜에 가격을 전달하는 시스템)도 이 가격 상승을 사실로 받아들였습니다.
보안 기업 펙쉴드(PeckShield)는 총 손실액이 870만 달러에 이른다고 확인했습니다. 이 수치는 모든 마모(MAMO) 토큰의 시가총액보다 많습니다. 현재 이 자금은 0xD71d로 시작하는 지갑의 다이(DAI) 스테이블코인으로 전환된 상태라고 회사는 밝혔습니다.
복구 논의 시작, 대출 한도 1 웨이로 축소
문웰(Moonwell)은 게시글을 통해 해당 사고를 인정하고 이미 피해 확산을 막기 위한 조치에 들어갔다고 밝혔습니다.
“우리는 베이스(Base) 상의 마모 코어 마켓에 영향을 주는 문제를 인지하고 있으며, 적극적으로 조사 중입니다. 예방 차원에서 베이스의 모든 코어 마켓 대출 한도를 1 웨이로 설정하여 신규 대출을 막고 추가 피해 가능성을 제한했습니다.” – 문웰 팀, 공식 게시글
1 웨이는 이더리움에서 가능한 가장 작은 단위입니다. 대출 한도가 축소되어 신규 대출이 모두 차단되지만, 출금은 영향을 받지 않습니다. 마모(MAMO)와 문웰 거버넌스 토큰 웰(WELL)의 공급 한도 역시 1 웨이로 낮춰졌습니다.
이번 목요일의 익스플로잇이 처음은 아닙니다. 나쁜 코딩이 아니라 비정상적 가격 산정이 문웰에 계속 손실을 입히고 있습니다. 2025년 11월에는 wrsETH 오라클 이상으로 370만 달러의 부실채권이 발생했습니다. 2월에는 cbETH 오라클 설정 오류로 178만 달러가 추가로 부실화되었습니다. 가격 산정 실패로 문웰은 10개월간 1,400만 달러 이상을 잃었습니다.
전체 디파이(DeFi) 업계도 동일한 약점을 드러내고 있습니다. 텀랩스(Term Labs)는 지난 일요일 거버넌스 익스플로잇으로 약 850만 달러를 잃었습니다. 분석가들은 최근 디파이 주요 손실의 원인을 코드 오류가 아니라 경제 설계 실패로 보고 있는 경향이 커지고 있습니다.
문웰은 조만간 추가 업데이트를 예고했습니다. 진짜 상황은 두 숫자가 말해줄 예정입니다. 하나는 마모 가격이 정상으로 돌아온 뒤의 최종 부실채권 규모입니다. 다른 하나는 출금을 원하는 공급자들에게 남아 있는 cbBTC와 USDC의 잔액입니다.
