Une erreur de tarification qui n'a duré que quelques minutes a laissé le prêteur DeFi Moonwell avec près de 1,8 million de dollars de créances irrécouvrables après qu'un bug logiciel a fait chuter la valeur du Coinbase Wrapped ETH (cbETH) à 1 $, au lieu d'environ 2 200 $, sur la plateforme.

Le bug technique s'est produit parce qu'une mise à jour du système a amené la plateforme à évaluer le cbETH uniquement en fonction de sa relation avec l'ETH (environ 1,12), en oubliant de prendre en compte le prix réel de l'ether en USD.

En conséquence, le protocole a interprété le cbETH comme valant environ 1,12 $, selon un résumé de l'incident.

Le problème a commencé lorsqu'une proposition de gouvernance a activé de nouvelles configurations d'oracle Chainlink sur les marchés Moonwell sur les réseaux Base et Optimism. Un oracle est un outil qui récupère des données en temps réel avant qu'elles ne soient ajoutées à une blockchain.

Dans les protocoles de prêt tels que Moonwell, les utilisateurs déposent des actifs comme le cbETH en garantie et empruntent d'autres tokens contre eux. Si la garantie tombe en dessous des seuils requis, les positions sont automatiquement liquidées par des bots qui remboursent la dette et saisissent la garantie à prix réduit.

Une fois que le cbETH semblait s'effondrer de plus de 2 000 $ à un peu plus de 1 $, les bots de liquidation ont agi rapidement. Parce que le protocole croyait que le token ne valait presque rien, les liquidateurs ont pu rembourser environ 1 $ de dette pour saisir un cbETH.

Le gestionnaire de risques Anthias Labs a déclaré que 1 096,317 cbETH (2,44 millions de dollars) ont été saisis, effaçant les garanties des emprunteurs tout en laissant le protocole avec des créances irrécouvrables sur plusieurs marchés.

La tarification faussée a également permis à un groupe plus restreint d'utilisateurs de déposer une garantie minimale et d'emprunter du cbETH à la valorisation artificiellement basse, augmentant encore les pertes.

Moonwell a réduit les plafonds d'approvisionnement et d'emprunt en quelques minutes pour contenir les dégâts. Cependant, corriger l'oracle nécessitait un vote de gouvernance et un délai de cinq jours, empêchant une correction immédiate.

L'épisode rappelle une fois de plus que les oracles de prix sont une infrastructure fondamentale et un point de défaillance clé pour les applications DeFi. Lorsqu'ils dysfonctionnent, les smart contracts font exactement ce pour quoi ils sont programmés, mais le bilan absorbe les conséquences.

Pendant ce temps, l'auditeur de sécurité Krum Pashov a noté que les commits GitHub liés à la proposition ont été corédigés par Claude Opus 4.6, un assistant de codage IA, suscitant un débat sur la question de savoir si le « codage d'ambiance » automatisé a contribué à la logique défectueuse de l'oracle.