Moola Market MOO-Pump-Drain

Am 18. Oktober 2022 verlor das Celo-basierte Kreditprotokoll Moola Market etwa 8,4 Millionen $ — einschließlich 8,8 Mio. CELO (6,5 Mio. $), 765.000 cEUR (750.000 $) und 644.000 cUSD (639.000 $) — nachdem ein Angreifer den Preis von Moolas eigenem MOO-Governance-Token um etwa 300× gepumpt und das aufgeblähte MOO als Sicherheit verwendet hatte, um alles andere aus dem Protokoll abzuziehen. 93,1 % der Mittel wurden zurückgegeben gegen eine Belohnung von 500.000 $.

Was geschah

Die Kreditplattform von Moola Market akzeptierte MOO — ihren eigenen Governance-Token — als Sicherheit, wobei der MOO/CELO-Preis aus Moolas internem Pool gelesen wurde. MOO hatte dünne Handelsliquidität im Vergleich zu den anderen Vermögenswerten des Protokolls, was seinen Preis mit vergleichsweise kleinen Kapitalmengen hoch manipulierbar machte.

Der Angriff erforderte nur 243.000 $ in CELO (von Binance gekauft) als Anfangskapital:

1. Lieh 60.000 CELO an Moola.
2. Borgte sich 1,8 Millionen MOO von Moola mit CELO als Sicherheit.
3. Nutzte die verbleibenden ~183.000 CELO, um MOOs Preis zu pumpen auf Moolas internem Markt — durch aggressiven Kauf von MOO, um den Preis nach oben zu drücken.
4. Der MOO-Preis stieg von ~0,018 $ auf 5,60 $ in etwa einer Stunde — ein ~310×-Anstieg.
5. Mit Moolas Orakel, das MOO nun zum aufgeblähten Preis meldete, hinterlegte der Angreifer das geliehene MOO als Sicherheit (nominal 10 Mio. $+ wert zum manipulierten Kurs) und lieh sich jeden anderen Vermögenswert in Moolas Reserven — CELO, cEUR, cUSD — insgesamt ~8,4 Mio. $.
6. Verschwand, sodass Moola mit MOO mit aufgeblähtem Wert als einziger Deckung für die gestohlenen Kredite zurückblieb.

Als sich MOOs Preis nach dem Angriff normalisierte, war Moola in seinen Asset-Märkten massiv unterbesichert.

Folgen

• Moola pausierte den Betrieb und engagierte den Angreifer über On-Chain-Nachrichten und bot eine Bug-Bounty-Beilegung an.
• Nach Verhandlungen gab der Angreifer 93,1 % der gestohlenen Mittel zurück gegen eine Belohnungszahlung von 500.000 $.
• Das Protokoll nahm den Betrieb mit neu gestalteten Orakel-Abhängigkeiten wieder auf und reduzierte die Akzeptanz von MOO als Sicherheit.

Warum es wichtig ist

Der Moola-Market-Vorfall ist der Lehrbuchfall dafür, warum ein Protokoll niemals das Orakel seines eigenen nativen Tokens aus seinem eigenen Markt verwenden sollte. Die Kombination aus:

• Selbstreferenzieller Preisgestaltung (Moolas MOO-Preis kam aus Moolas eigenem Pool).
• Dünner Liquidität (MOO hatte geringe Markttiefe).
• Akzeptanz als Selbst-Sicherheit (Moola ließ MOO als Sicherheit auf Moola verwenden).

...schafft eine geschlossene Schleife, in der der Angreifer jeden Schritt der Preisermittlungs- und Sicherheitenbewertungs-Pipeline kontrolliert. Die Lösung ist gut dokumentiert: Verwende externe Orakelquellen für jeden nativen Token, der als Sicherheit verwendet wird, oder schließe den nativen Token vollständig von der Sicherheitenakzeptanz aus.

Das strukturelle Muster wiederholt sich in der DeFi-Geschichte:

• Cream Finance (Okt 2021) — verwendete Yearns yUSD-Preis von Yearn selbst.
• Vee Finance (Sept 2021) — verwendete Pangolins Preis für seine eigene Sicherheit.
• Polter Finance (Nov 2024) — verwendete SpookySwap-Spot für BOO-Sicherheit.
• Moola Market (Okt 2022) — verwendete Moolas internen MOO-Preis.

In jedem Fall waren die Manipulationskosten ein kleiner Bruchteil der schließlichen Extraktion. Moolas 243.000 $ Anfangskosten für 8,4 Mio. $ an Drains ist ein 35×-Multiplikator — und das ist vor Abzug der Belohnungszahlung von 500.000 $, was das Protokoll im gesamten Vorfall netto-negativ lässt.