La plataforma de finanzas descentralizadas Moonwell sufrió una explotación de $1 millón el 4 de noviembre de 2025, exponiendo vulnerabilidades críticas en cómo los protocolos DeFi dependen de datos de precios externos. El ataque se dirigió a las operaciones del protocolo de préstamo en las redes Base y Optimism, drenando fondos a través de una sofisticada explotación de préstamo relámpago que manipuló los feeds de precios del oráculo.
El incidente se desarrolló cuando la firma de seguridad blockchain BlockSec detectó transacciones sospechosas que atacaban los contratos inteligentes de Moonwell. Según su análisis, los atacantes explotaron un feed de oráculo rsETH/ETH defectuoso que reportó incorrectamente el precio del ETH replanteado envuelto (wrstETH) en aproximadamente $5.8 millones por token, una sobremeditación masiva en comparación con el precio de mercado real de menos de $3,500 para el ETH subyacente.
Usando este error de precios, el hacker ejecutó ataques de préstamo relámpago repetidos que les permitieron pedir prestado cantidades sustanciales de criptomonedas contra un colateral mínimo. La firma de seguridad CertiK reportó que el atacante "fue capaz de pedir prestado repetidamente más de 20 wstETH con solo ~0.02 wrstETH prestados y depositados" debido al mal funcionamiento del oráculo.
La explotación finalmente reportó al hacker aproximadamente 295 ETH, valorados en aproximadamente $1 millón.
Un patrón de vulnerabilidades
Esta última brecha representa el cuarto incidente de seguridad importante para Moonwell en tres años, planteando serias preguntas sobre la infraestructura de seguridad del protocolo. La plataforma perdió anteriormente $1.7 millones en octubre de 2025 durante un colapso del mercado provocado por anuncios de tarifas, cuando las brechas de precios oráculo-DEX permitieron a los atacantes explotar los mecanismos de liquidación.
En diciembre de 2024, Moonwell sufrió un ataque de préstamo flash de $320,000 apuntando a su contrato de préstamo USDC, donde un contrato malicioso disfrazado de "mToken" otorgaba autorizaciones de token no autorizadas. El atacante utilizó Tornado Cash para financiar la billetera y rápidamente intercambió el USDC robado por DAI antes de que las autoridades pudieran responder.
El protocolo también experimentó problemas relacionados con el incidente de Nomad Bridge en 2022, aunque el impacto financiero exacto sigue siendo incierto. Este preocupante historial llevó al auditor de seguridad QuillAudits a notar: "Otro día, otra explotación de Moonwell. 4º incidente importante en 3 años."
Impacto en el mercado y confianza de los inversores
La explotación envió ondas de choque inmediatas a través del ecosistema de Moonwell. El token WELL cayó 13.5% en un solo día tras las noticias del ataque, significativamente peor que la caída del 3.95% del mercado de criptomonedas en general. Al 4 de noviembre, WELL se comerciaba aproximadamente a $0.0155, representando una disminución del 51% en el último mes y extendiendo las pérdidas desde máximos históricos a más del 96%.
El momento resultó particularmente desafortunado para Moonwell, que acababa de reportar ingresos récord de tarifas en octubre, distribuyendo $2.12 millones a prestamistas y reservas en Base y Optimism. La plataforma atribuyó este éxito a "una mayor demanda de préstamos → tasas más altas → más ingresos → más WELL adquiridos en subastas de reserva cada mes". Sin embargo, la última brecha de seguridad eclipsó estas métricas positivas y planteó preocupaciones sobre salidas de capital del protocolo.
Agregando a la inquietud de los inversores, Moonwell descontinuó su programa de recompensas por bugs en Immunefi antes en 2025, solo meses antes de que estos ataques importantes ocurrieran. Esta decisión ahora parece cuestionable dada las fallas de seguridad subsiguientes.
El problema del oráculo en DeFi
El incidente de Moonwell resalta un desafío fundamental al que se enfrenta la finanza descentralizada: la dependencia de fuentes de datos externas llamadas oráculos. Estos sistemas proporcionan a los contratos inteligentes información del mundo real como precios de activos, pero introducen posibles puntos de falla.
En este caso, la explotación se originó a partir de una vulnerabilidad de oráculo fuera de la cadena en el feed de precios rsETH/ETH, potencialmente proporcionada por Chainlink. Los analistas de seguridad notaron que la configuración del oráculo incluía "intervalos de latidos arcaicos y umbrales de desviación amplios", permitiendo desviaciones de precio significativas antes de activar actualizaciones.
El método de ataque en sí fue sofisticado. Usando préstamos flash - préstamos no colateralizados que deben ser devueltos en una sola transacción - el hacker infló los valores de colateral basándose en los datos defectuosos del oráculo. Como el protocolo valoró el pequeño depósito de 0.02 wrstETH en más de $116,000, el atacante pudo pedir prestado 20 wstETH por transacción, vaciando las reservas de Moonwell a través de múltiples operaciones.
Los analistas de blockchain creen que bots MEV (valor extraíble máximo) pueden haber estado involucrados en la identificación y explotación de la vulnerabilidad, destacando cómo los sistemas de trading automatizados pueden capitalizar rápidamente las debilidades del protocolo.
Crisis de seguridad más amplia en DeFi
La explotación de Moonwell ocurrió en un período particularmente turbulento para las finanzas descentralizadas. Justo un día antes, el 3 de noviembre, Balancer sufrió un devastador hackeo de $128 millones que afectó a sus pools V2 en múltiples blockchains, incluidas Ethereum, Berachain, Arbitrum, Base, Optimism y Polygon.
El ataque a Balancer explotó una vulnerabilidad de control de acceso defectuosa en los "boosted pools" y la función "manageUserBalance" del protocolo, a pesar de que el código base había sido sometido a 11 auditorías de seguridad separadas desde 2021. Esta realidad demostró que incluso auditorías extensas no pueden garantizar la seguridad del protocolo.
Además, Berachain, una blockchain de capa 1 compatible con Ethereum, sufrió una explotación relacionada con el tripool Ethena/Honey. La Fundación Berachain pausó temporalmente su red para prevenir más daños, con el Chief Smokey Officer Smokey The Bera explicando: "Cuando aproximadamente $12 millones de fondos de usuarios están en riesgo... intentamos coordinar el conjunto de validadores para proteger a esos usuarios."
Juntas, estas tres incidencias a inicios de noviembre de 2025 borraron al menos $222 millones de protocolos DeFi, según The Block, exponiendo la naturaleza profundamente interconectada de los sistemas de liquidez y colateral a través de redes blockchain.
Reflexiones finales
Aunque los datos de PeckShield muestran que las pérdidas por hackeos en DeFi cayeron un 85.7% en octubre a $18.18 millones en 15 incidentes, frente a más de $127 millones en septiembre, los ataques de noviembre demuestran que persisten vulnerabilidades significativas. La manipulación de oráculos y las explotaciones de préstamos relámpago siguen siendo algunas de las rutas de ataque más efectivas contra protocolos DeFi.
Los expertos del sector argumentan que estos incidentes probablemente acelerarán los llamados a requisitos de validación de oráculos más estrictos y sistemas de verificación de precios de múltiples fuentes. Los protocolos DeFi pueden necesitar implementar cheques de sensatez de precios más sólidos, intervalos de latidos más rápidos para actualizaciones de oráculo, y cortocircuitos que pausen operaciones cuando se detecten movimientos de precios inusuales.
Para Moonwell específicamente, el camino hacia la reconstrucción de la confianza parece desafiante. Con el valor total bloqueado cayendo de casi $400 millones en su pico a aproximadamente $234 millones antes del último ataque, y se esperan más descensos, el protocolo enfrenta presión para implementar mejoras de seguridad completas y potencialmente compensar a los usuarios afectados.
Las explotaciones de noviembre de 2025 sirven como un recordatorio claro de que, a pesar de años de desarrollo y miles de millones de dólares bloqueados en protocolos DeFi, el sector sigue siendo vulnerable a ataques sofisticados. A medida que crece la adopción y más capital institucional fluye hacia las finanzas descentralizadas, la necesidad de medidas de seguridad más fuertes, mejores sistemas de oráculos, y una gestión de riesgos más integral nunca ha sido más crítica.