- Криптовалютная платформа Moonwell потеряла $1,78 млн из-за ошибки в коде ценового оракула.
- Ошибка возникла в формуле, написанной с помощью ИИ Claude Opus 4.6, из-за пропущенного умножения курса токена cbETH на цену ETH в долларах.
- Торговые боты воспользовались некорректной ценой в течение четырёх минут, после чего исправление оракула стало возможным только через голосование и пятидневное ожидание.
Криптовалютная платформа Moonwell столкнулась с серьёзными финансовыми потерями — из-за бага в коде ценового оракула было потеряно около $1,78 млн. Ошибка обнаружилась после внедрения обновления MIP-X43, которое подключало контракты оракулов Chainlink в сетях Base и Optimism. В одном из оракулов формула ценообразования токена cbETH была неполной: вместо умножения курса cbETH/ETH на цену ETH в долларах, система передавала лишь курс cbETH/ETH как окончательную цену, завышая стоимость токена примерно в 2000 раз.
Из-за этой ошибки токен cbETH был оценён в $1,12 вместо реальных ~$2200. При таких условиях торговые боты платформы мгновенно начали закрывать долги по цене около одного доллара и получать за это cbETH по значительно заниженной цене. Такой арбитраж произошёл в течение четырёх минут, за которые боты вывели 1096 cbETH. Обнаружив аномалию, специалисты Moonwell не смогли немедленно остановить процесс из-за регламентированных процедур: исправление оракула требует одобрения голосованием и занимает около пяти дней.
Особое внимание к инциденту привлёк аудитор Пашов, который отметил, что код был создан с участием ИИ под названием Claude Opus 4.6. Он подчеркнул, что ответственность нельзя возлагать исключительно на искусственный интеллект, поскольку итоговый код проверяется людьми. Тем не менее, основатель компании SlowMist охарактеризовал ошибку как простейшую — пропущенное умножение, которое следовало выявить стандартным аудитом.
Это уже второй подобный случай для Moonwell: в ноябре 2025 года платформа понесла убытки свыше миллиона долларов из-за аналогичной ошибки оракула. Данный инцидент вновь подчёркивает проблему надлежащей проверки кода в смарт-контрактах, особенно когда ими управляются крупные суммы. Подписи с пометкой «Co-Authored-By» и использование ИИ не заменяют внимательный и профессиональный аудит программного обеспечения.
