Aviso: análisis editorial sobre el incidente del mercado MAMO de Moonwell en Base. Todas las cifras están congeladas el 28 de agosto de 2026 a las 09:29 UTC y proceden del post-mortem de Anthias Labs en el foro de Moonwell, de los informes de reservas del mismo curador, de la API pública de DefiLlama y de lecturas propias de los contratos en Base. No constituye asesoramiento financiero. CleanSky no recibe comisiones ni pagos por referral de ningún protocolo citado.
Moonwell cerró el 27 de agosto de 2026 con 9.131.342 dólares de deuda residual en su mercado de MAMO en Base —4,78 años del revenue anual del protocolo—, según el post-mortem que Anthias Labs, su curador de riesgo, publicó el 28 de agosto. Deuda residual es la que sigue viva tras las liquidaciones, y revenue son los ingresos que retiene el protocolo, no el interés que cobran los prestamistas: 1.911.054 dólares en doce meses según DefiLlama. Esa misma deuda equivale a 35,9 veces las reservas totales de Moonwell (254.352 dólares a 24 de agosto). MAMO es el token de Mamo, la aplicación de ahorro automatizado sobre Base, listado como colateral en octubre de 2025. El exploit abrió el agujero en 24 minutos combinando dos fallos independientes: un supply cap (tope de suministro) que solo contaba los depósitos formales y un feed de precio —el oráculo que dice cuánto vale el colateral— sin banda de desviación. Este artículo separa las cuatro cifras del incidente, reconstruye el mecanismo contrato a contrato —incluido el proveedor del oráculo que el post-mortem no nombra— y mide la deuda contra el dinero que Moonwell genera y guarda.
¿Qué ocurrió en el mercado MAMO de Moonwell el 27 de agosto de 2026?
A las 09:06:11 UTC del 27 de agosto el feed MAMO/USD marcaba 0,010597 dólares. A las 09:28:43 marcaba 0,43127363. Entre medias, una cuenta acumuló 94.305.863 MAMO comprados en DEX de Base, suministró formalmente 15.089.595 al mercado de Moonwell y transfirió otros 53.393.290 directamente al contrato mMAMO (el token de recibo que emite el mercado a cada depositante) en dos envíos, a las 09:19:59 y 09:21:09. El último préstamo salió a las 09:30:13. La primera liquidación llegó 32 segundos después.
Del incidente circulan cuatro importes y los cuatro son correctos: miden cosas distintas. El post-mortem de Anthias Labs los publica etiquetados:
- 11.028.762 dólares: el valor bruto prestado en 18 operaciones sobre cbBTC, WETH, USDC y wstETH, valorado con el oráculo de Moonwell en el bloque de cada préstamo. No descuenta liquidaciones ni repagos.
- 9.131.342 dólares: la deuda que seguía viva tras las 595 liquidaciones, medida a precios de oráculo en el corte de evidencia. Es la que carga el protocolo.
- 8.729.454 USDC: lo que salió de Base por el puente CCTP de Circle en dos quemas gemelas a las 09:41:43 y 09:42:43. Es el flujo de salida, no la pérdida.
- 6.784.655 dólares: la subida trazada del saldo en stablecoins sobre el capital inicial. El post-mortem la marca como estimación de ganancia.
El capital externo de partida fueron 1.947.391 USDC, obtenidos vendiendo 799 ETH llegados desde Tornado Cash el 21 y el 23 de agosto: los 6,78 millones trazados multiplican por 3,48 ese principal (cálculo propio). Moonwell reaccionó a las 10:53:43, una hora y 23 minutos después del último préstamo, bajando los borrow caps a 1 wei, y a las 11:09:43 con el supply cap de MAMO.
¿Cuánto pesan los 9,13 millones de dólares en la contabilidad de Moonwell?
DefiLlama publica dos cifras anuales para Moonwell y la distancia entre ellas define el problema. Lo que el agregador etiqueta como Fees son 8.650.625 dólares: el interés total que pagaron los prestatarios en doce meses, que va casi entero a los prestamistas. Lo que etiqueta como Revenue son 1.911.054 dólares: la parte que el protocolo retiene vía reserve factor. La primera mide el tamaño del negocio; la segunda, la caja con la que ese negocio puede pagar sus errores.
La deuda residual de 9.131.342 dólares del mercado MAMO equivale a 4,78 años del revenue anual de Moonwell —1.911.054 dólares según DefiLlama a 28 de agosto de 2026— y a 1,06 años de sus fees. La misma pérdida y el mismo agregador dan 1,1 o 4,8 años según de quién sea el dinero que se cuente.
El otro contador es peor. El informe de reservas del 24 de agosto, tres días antes del incidente, cifra las reservas de Moonwell en las tres cadenas activas en 254.352 dólares, con una acumulación de 27.786,19 dólares en treinta días. La deuda residual del mercado MAMO equivale a 35,9 veces todas las reservas que Moonwell tenía acumuladas el 24 de agosto de 2026. El mercado MAMO en concreto tenía 495,72 dólares en reservas ese día, 49.571,509 MAMO.
| Métrica de Moonwell | Valor | Fecha | Ratio frente a los 9.131.342 $ |
|---|---|---|---|
| Fees 1 año (interés pagado por prestatarios) | 8.650.625 $ | 28-ago-2026 | 1,06 años |
| Revenue 1 año (ingresos que retiene el protocolo) | 1.911.054 $ | 28-ago-2026 | 4,78 años |
| Revenue 30 días | 57.609 $ | 28-ago-2026 | 0,63 % |
| Reservas totales (Base + OP + Ethereum) | 254.352 $ | 24-ago-2026 | 2,79 % |
| Acumulación de reservas en 30 días | 27.786 $ | 24-ago-2026 | 27,4 años |
| TVL suministrado en Base | 41.698.650 $ | 28-ago-2026 | 21,9 % del TVL |
Cálculo propio a partir de las cifras congeladas el 28 de agosto de 2026 a las 09:29 UTC. El TVL da la escala desde fuera: el total de Moonwell pasó de 71.761.050 dólares el 27 de agosto a 44.702.974 el 28 a las 08:47 UTC (−37,7 %), y el de Base, de 68.437.976 a 41.698.650 (−39,1 %). La deuda residual pesa el 13,3 % de lo suministrado en Base la víspera.
¿Por qué el supply cap de 20 millones de MAMO no frenó el ataque a Moonwell?
MIP-B48 (Moonwell Improvement Proposal, el formato de las propuestas de gobernanza del protocolo) listó MAMO el 15 de octubre de 2025 con factor de colateral del 50 %, supply cap de 20 millones de MAMO, borrow cap de 3 millones y reserve factor del 30 %. Sobre el papel, ese tope acota cuánto colateral MAMO puede existir en el mercado. En la práctica solo vigila una de las dos puertas por las que entra valor.
Un mercado de préstamos tipo Compound valora la posición multiplicando los recibos mMAMO por un exchange rate que divide el MAMO que respalda el mercado entre los recibos emitidos. El supply cap se comprueba en la función de depósito, la que emite recibos. Una transferencia ERC-20 corriente al contrato sube el respaldo sin pasar por esa función y sin emitir un solo recibo.
Eso es exactamente lo que registró el post-mortem: 53.393.290 MAMO entraron por transferencia directa, ninguna de las dos transacciones emitió un evento Mint, el suministro de mMAMO se quedó igual en esos bloques y el exchange rate subió de 0,020513 a 0,075460 — un factor de 3,6788. El supply cap de 20 millones de MAMO que Moonwell aprobó en octubre de 2025 solo contaba los depósitos formales —15.089.595 MAMO, por debajo del tope— y no vio los 53.393.290 que entraron por transferencia directa el 27 de agosto de 2026. La cuenta controlaba unas tres cuartas partes de los mMAMO en circulación, según el post-mortem, así que se llevó casi toda la subida del exchange rate.
Los dos multiplicadores se acumulan: el precio del oráculo se multiplicó por 40,7 y el exchange rate por 3,68 — el valor en dólares de cada recibo mMAMO subió unas 150 veces (cálculo propio). Sin esa segunda palanca, el mismo movimiento de precio sobre 15 millones de MAMO no habría dado capacidad de préstamo para once millones.
¿Qué oráculo de Chainlink alimentaba el mercado MAMO de Moonwell en Base y qué comprobaba?
El post-mortem de Anthias Labs habla de «source feed» sin nombrar al proveedor. La cadena de contratos en Base sí lo dice, y se puede recorrer con tres llamadas de lectura (verificación propia el 28 de agosto de 2026 a las 09:29 UTC):
| Paso | Contrato en Base | Qué es |
|---|---|---|
Comptroller de Moonwell → oracle() | 0xEC94…a9d0 | ChainlinkOracle de Moonwell (verificado) |
getFeed("MAMO") | 0xdbd3…afe6 | ChainlinkOEVWrapper, contrato propio de Moonwell |
priceFeed() del wrapper | 0xef75…ac94 | EACAggregatorProxy de Chainlink, «MAMO / USD» |
aggregator() del proxy | 0x6f49…622e | AccessControlledOCR2Aggregator de Chainlink |
El feed de origen es un oráculo Chainlink MAMO/USD desplegado en Base, con ocho decimales, que Moonwell no lee directamente: lo lee a través de un wrapper propio pensado para capturar el OEV (oracle extractable value, el valor que los liquidadores extraen al ser los primeros en usar un precio nuevo). Ese wrapper devuelve por diseño la ronda anterior cuando la última tiene menos de diez segundos y nadie ha pagado por adelantarla. El post-mortem no explica por qué el máximo aceptado por Moonwell (0,40248571 dólares a las 09:29:31) quedó por debajo del pico del feed (0,43127363 a las 09:28:43); la secuencia de rondas que publica no es exhaustiva.
Lo que ninguna de las dos capas comprueba es la magnitud. No hay tope de desviación entre rondas ni banda de precio plausible en el wrapper, y aguas arriba el agregador de Chainlink para MAMO/USD tiene minAnswer en 1 (0,00000001 dólares) y maxAnswer en 2¹⁷⁶−1, sin techo operativo. Un salto de 0,0106 a 0,4313 dólares en 22 minutos y 32 segundos pasa todas las comprobaciones porque ninguna mira la velocidad. El ChainlinkOEVWrapper (0xdbd3…afe6) con el que Moonwell lee el feed MAMO/USD de Chainlink en Base valida precio positivo, ronda completa y respuesta no rezagada, y ninguna de las tres comprobaciones mide la desviación entre rondas (lectura del contrato, 28 de agosto de 2026).
El contraste con otros mercados está en dónde vive el colateral ilíquido. Aave no lista así en su mercado core; Morpho Blue solo tiene mercados aislados con parámetros propios, como el de cbXRP que analizamos el 26 de agosto. MAMO estaba en el mercado core de Moonwell en Base con factor de colateral del 50 %.
¿Cuántos incidentes de oráculo acumula Moonwell desde octubre de 2025?
Moonwell registró cuatro incidentes ligados a su capa de precios entre el 10 de octubre de 2025 y el 27 de agosto de 2026 —321 días— con 16,31 millones de dólares de deuda mala sumada. La cuenta llega a cuatro porque incluye el 10 de octubre de 2025, que Anthias Labs documentó con post-mortem propio en el foro de Moonwell.
| Fecha | Mercado | Deuda mala | Causa según el post-mortem | Estado a 28-ago-2026 |
|---|---|---|---|---|
| 10-oct-2025 | VIRTUAL, MORPHO, AERO (Base) | ~1.700.000 $ | Divergencia entre feeds y precios DEX durante el crash; el feed de VIRTUAL cayó 80 % en 5 minutos y rebotó 66 % en 15 | VIRTUAL sigue con 803.077 $ de deuda mala (24-ago-2026) |
| 4-nov-2025 | wrsETH (Base) | 3.700.000 $ | El feed wrsETH/ETH reportó 1 wrsETH = 1.649.934,6 ETH; el ataque se ejecutó en 30 segundos | Mercado wrsETH en cuarentena (caps a cero, oráculo de exchange rate desde nov-2025). La deuda del ataque vive en los mercados prestados: la misma cuenta figura el 24-ago-2026 con 887.043 $ en cbXRP y 73.118 $ en AERO |
| 15-feb-2026 | cbETH (Base; MIP-X43 afectó a Base y Optimism) | 1.779.045 $ | MIP-X43 activó los wrappers OEV y una configuración usó el ratio cbETH/ETH crudo (~1,12 $) en vez de ~2.200 $ | 1.768.665 $ de deuda mala viva; remediación al 12,29 % en junio |
| 27-ago-2026 | MAMO (Base) | 9.131.342 $ | Inflado del exchange rate por transferencia directa más subida del feed MAMO/USD ×40,7 | Sin MIP de remediación |
El incidente de cbETH del 15 de febrero no lo provocó un atacante: lo provocó la ejecución de MIP-X43, la propuesta con la que la gobernanza de Moonwell activó los wrappers OEV de Chainlink en los mercados core de Base y Optimism. Una configuración dejó cbETH valorado en 1,12 dólares, los bots de liquidación se llevaron 1.096,317 cbETH repagando cantidades mínimas y corregir el oráculo exigía cinco días de votación y timelock. El wrapper que lee el feed MAMO/USD pertenece a esa misma familia de contratos y se desplegó el 17 de mayo de 2026, tres meses después.
El otro detalle recurrente es que la remediación llega tarde. El informe del 24 de agosto de 2026 propone repagar 22.554,36 dólares de deuda mala con reservas: el 0,49 % de los 4.583.019 pendientes en ese momento. El 23 de agosto, un suministrador de cbETH que nunca fue liquidado abrió un hilo preguntando cómo recuperar su posición seis meses después del incidente de febrero.
¿Con qué dinero puede Moonwell cubrir la deuda del mercado MAMO?
Reservas del protocolo. Sumada la deuda residual de MAMO a la que Moonwell ya arrastraba (4.583.019 dólares a 24 de agosto, el 99,87 % en Base), el total va a 13.714.361 dólares, cubiertos por reservas al 1,85 %. Al ritmo de acumulación de julio-agosto, 27.786 dólares al mes, taparlo solo con reservas tardaría 494 meses: unos 41 años. Y las reservas se reparten por mercado, porque el mecanismo de repago solo permite usar las de un mercado contra la deuda de ese mismo mercado.
Tesorería de la Fundación. Los prestatarios afectados por el incidente de cbETH pidieron en junio de 2026 financiar la remediación desde ahí, citando una declaración pública de la Fundación Moonwell sobre una tesorería «sustancial»; sin fuente primaria verificable de la Fundación, esa cifra queda como contexto de gobernanza. El precedente sí es dato: la remediación de cbETH llevaba distribuido el 12,29 % de la obligación a 4 de junio de 2026, casi cuatro meses después del incidente, y los propios afectados calculaban unos cinco años al ritmo del protocolo.
Recuperación externa. Es la vía que el post-mortem cierra sin decirlo. Los 8.728.319 USDC que llegaron a Ethereum (1.135 menos que los quemados en Base) se convirtieron en DAI canónico a las 09:44:47, dos minutos y cuatro segundos después de la segunda quema, y pasaron a otra cuenta un minuto más tarde. USDC es congelable por su emisor; DAI no tiene esa función. La conversión completa en poco más de tres minutos desde la primera quema elimina la palanca de congelación por el emisor que sí operó en otros casos de 2026 (Tether e IoTeX, en el informe de seguridad DeFi del primer trimestre).
¿Qué señales dirán si Moonwell absorbe la pérdida del mercado MAMO?
A 28 de agosto de 2026 a las 09:29 UTC, el tema más reciente del foro de gobernanza de Moonwell es el propio post-mortem. No hay MIP de remediación, y cualquiera que se presente necesita cinco días de votación y timelock antes de ejecutarse. Cuatro señales concretas resuelven la cuestión en las próximas semanas:
- Una MIP de remediación del mercado MAMO, con fuente de fondos explícita. Si sale de reservas, el calendario se mide en años; si sale de la tesorería de la Fundación, rompe el precedente de cbETH.
- El informe de reservas de finales de septiembre de 2026 de Anthias Labs, el primero que incorporará el mercado MAMO. La cifra a vigilar es la deuda mala neta total: el 24 de agosto era de 4.583.019 dólares.
- Los circuit breakers de oráculo de la Fase 2 propuestos el 8 de junio de 2026 en el hilo de evolución de la gestión de riesgo. Llevaban 80 días discutidos con cuatro mensajes y sin MIP cuando ocurrió el incidente de MAMO.
- El tratamiento del cap de suministro. Un tope que se comprueba solo en la ruta de depósito deja abierta la puerta de la transferencia directa en cualquier otro mercado con el mismo código.
La tesis de este análisis se puede tumbar con un dato concreto: si el informe de reservas de finales de septiembre o una MIP aprobada muestran que Moonwell puede cubrir al menos la mitad de los 9.131.342 dólares con reservas o ingresos propios —no con la tesorería de la Fundación ni con recuperaciones externas— en menos de doce meses; o si DefiLlama corrige el revenue anual del protocolo por encima de 9 millones de dólares por un error de adaptador. Con la foto del 28 de agosto de 2026, ninguna de las dos condiciones se cumple.
Quien evalúa un mercado de préstamos en Base tiene dos ratios calculables antes de depositar: lo que retiene el protocolo al año frente a la deuda mala que ya arrastra, y lo que tarda su gobernanza en cambiar un parámetro de oráculo. En Moonwell, a 28 de agosto de 2026, son 1,91 millones de dólares contra 13,71 millones y cinco días de timelock. La mecánica de fondo está en nuestra guía sobre oráculos, y el ecosistema donde ocurrió, en DeFi en Base.
Artículos relacionados: Quién se queda el margen en el préstamo DeFi. El take rate de Aave, Morpho y Compound. DeFi en Base. Monitoriza tus posiciones de préstamo y tu cartera en CleanSky — con seguimiento de wallets y de mercados de lending, sin recomendaciones de inversión.