Ошибка оракула cbETH Moonwell позволила флеш‑лоан‑эксплойт на $1,78 млн; упоминается код, созданный ИИ

Moonwell, DeFi‑протокол кредитования, развернутый в Base и Optimism, был опустошен примерно на 1,78 млн долларов после того, как его оракул cbETH (Coinbase Wrapped Staked ETH) вернул неверную цену (~1,12 доллара вместо ≈2 200 долларов). Злоумышленники использовали неправильно оценённый cbETH в атаке в стиле flash‑loan, чтобы чрезмерно занять под недооценённое обеспечение и вывести средства. Послематчевый анализ показал pull request с коммитами, соавтором которых был Claude Opus 4.6 от Anthropic, а разработчики признали использование Solidity‑кода, сгенерированного ИИ, без полноценных end‑to‑end интеграционных тестов. Исследователи безопасности и аудиторы заявили, что ошибка была связана с конфигурацией/интеграцией и что более строгие end‑to‑end тесты, усиленные процессы ревью и лучшая валидация оракулов, вероятно, выявили бы её. Moonwell сообщил, что отдельные модульные и интеграционные тесты были в другом pull request и что он заказал аудит у Halborn. Инцидент подчёркивает риск оракулов и конфигураций для DeFi, операционные риски обращения с кодом смарт‑контрактов, сгенерированным ИИ, как с готовым к продакшену, а также необходимость строгих цепочных интеграционных тестов, многолюдного ревью и консервативной проверки оракулов. Комментарии рынка отмечают, что такие эксплойты краткосрочно давят на сентимент альткойнов; трейдерам рекомендуют выбирать аудированные протоколы, проверять источники оракулов и относиться к коду, созданному ИИ, с повышенной осторожностью. Этот отчёт носит информационный характер и не является инвестиционной рекомендацией.