Одна строка в смарт-контракте — и почти два миллиона долларов испарились. Именно так для DeFi-протокола Moonwell закончилась попытка обновления кода с использованием ИИ.

Инцидент произошёл на кредитной платформе Moonwell, работающей в сетях Base и Optimism. После внедрения обновления с контрактами Oracle Extractable Value (OEV) от Chainlink в основном рынке cbETH в сети Base возникла критическая ошибка в формуле расчёта цены.

Проблема заключалась в неверной логике вычислений: вместо умножения курса cbETH к ETH на цену ETH в долларах США система учитывала только соотношение cbETH/ETH и трактовала его как уже выраженное в USD. В результате стоимость токена cbETH оказалась занижена примерно до 1,12 доллара при реальной цене около 2200 долларов.

Такое расхождение — почти в две тысячи раз — мгновенно активировало каскад ликвидаций. Ликвидаторы получили возможность закрывать задолженности на символические суммы и забирать обеспечение, реальная стоимость которого измерялась тысячами долларов.

Уязвимый код был активирован 15 февраля после принятия предложения MIP-X43. В течение нескольких часов менеджер по рискам сократил лимит заимствований cbETH практически до нуля, что остановило выдачу новых кредитов и ограничило дальнейшие потери. Однако часть ликвидаций уже произошла, и некоторые пользователи практически полностью лишились своих залогов.

По оценке протокола, общий ущерб составил около 1,78 миллиона долларов. Наибольшие потери пришлись на позиции в cbETH, WETH и USDC. При этом отдельные заёмщики, воспользовавшись ошибкой в оценке, смогли привлечь больше средств, чем позволяли реальные параметры риска, что дополнительно усугубило дисбаланс.

Особое внимание вызвал тот факт, что ошибка была связана с кодом, сгенерированным моделью Claude Opus 4.6 от компании Anthropic. Это снова оживило дискуссию о так называемом «вайб-кодинге» — практике, при которой разработчики активно полагаются на генеративные модели при написании программного кода.

Аудитор смарт-контрактов pashov отметил, что ответственность в подобных случаях лежит не только на инструменте, но и на специалистах, которые интегрируют изменения в продакшен. Нейросеть может предложить решение, однако финальную проверку логики обязаны проводить люди.

Компания SlowMist, специализирующаяся на безопасности блокчейн-проектов, указала на некорректную формулу оракула и недостаточный уровень внутреннего контроля. Ранее исследователи уже обнаруживали десятки уязвимостей в приложениях, созданных с помощью ИИ-инструментов, включая Cursor и Claude Code.

Интересно, что в декабре 2025 года сама Anthropic публиковала результаты тестирования, согласно которым предыдущая версия модели — Claude Opus 4.5 — в симуляционной среде могла самостоятельно выявлять уязвимости в смарт-контрактах, выстраивать цепочки атак и извлекать потенциальную прибыль в миллионах долларов.

В Moonwell подчеркнули, что сбой был локализован исключительно в рынке cbETH сети Base. Остальные рынки, включая инфраструктуру в Optimism и другие сегменты Base, не пострадали. Тем не менее это уже не первый инцидент, связанный с оракулами в экосистеме протокола — похожая ситуация происходила в ноябре 2025 года.

История наглядно демонстрирует: автоматизация разработки не заменяет базовую проверку логики. Даже одна неточность в формуле способна обернуться многомиллионными потерями.