Moonwell durch einen Exploit von 1,78 Mio. USD betroffen, während die KI-Codierungsdebatte die DeFi erreicht

Moonwell, ein dezentralisiertes Finanzierungsprotokoll (DeFi), das auf den Ökosystemen Base und Optimism aktiv ist, wurde Ziel eines kalkulierten Exploits, bei dem die Angreifer etwa 1,78 Millionen US-Dollar erbeuteten. Die Ursache lag in einem Preis-Oracle für Coinbase Wrapped Staked ETH (cbETH), das einen anomalously niedrigen Wert zurückgab – etwa 1,12 US-Dollar statt des korrekten Preises von rund 2.200 US-Dollar – was eine Fehldarstellung des Preises erzeugte, die clevere Akteure ausnutzen konnten, um Gewinne zu erzielen. Der Vorfall unterstreicht die Fragilität der Cross-Chain-DeFi-Infrastruktur, wenn Preisfeeds fehlschlagen und automatisierte Systeme auf fehlerhafte Daten reagieren. Er wirft auch ein Licht auf die Rolle KI-gestützter Entwicklung bei der Sicherheit von Smart Contracts, ein Thema, das zunehmend kontrovers diskutiert wird, da Teams auf KI-gesteuerte Tools setzen, um Codierung und Audits zu beschleunigen.

Die Geschichte verbindet eine technische Fehldarstellung mit Governance- und Engineering-Fragen, die über einen einzelnen Exploit hinausgehen. Nach dem Vorfall geriet die Entwicklungsaktivität von Moonwell in den Fokus, nachdem der Sicherheitsexperte Leonid Pashov auf Social Media Bedenken hinsichtlich KI-gestützter Beiträge im zugrunde liegenden Codebase äußerte. Die Pull Requests, die mit den betroffenen Verträgen verbunden sind, zeigen mehrere Commits, die von Claude Opus 4.6 verfasst wurden – eine Referenz auf Anthropic’s KI-Tools –, was Pashov dazu veranlasste, den Fall öffentlich als Beispiel für eine missglückte KI-geschriebene oder -unterstützte Solidity-Code zu charakterisieren. Die Diskussion dreht sich nicht nur um KI; es geht vielmehr darum, ob die automatisierte Codeerstellung mit angemessenen Sicherheitsvorkehrungen verbunden war.

Im Gespräch mit Cointelegraph beschrieb Pashov, wie sich die Entdeckung entwickelte: Das Team hatte den Fall Claude zugeordnet, weil mehrere Commits in den Pull Requests auf Claudes KI-gestützten Workflow zurückzuführen waren, was darauf hindeutete, dass der Entwickler KI genutzt hatte, um Teile des Codes zu schreiben. Die größere Implikation, so argumentierte er, ist nicht, dass KI an sich fehlerhaft ist, sondern dass der Prozess versagte, rigorose Prüfungen und eine End-to-End-Validierung umzusetzen. Diese Unterscheidung ist wichtig, weil sie den Vorfall als Warnung für Governance, Prüfdisziplin und Testgenauigkeit darstellt – Faktoren, die bei jedem DeFi-Projekt, das KI-gestützte Entwicklungsprozesse erprobt, berücksichtigt werden sollten.

Schwacher Code führte zum Moonwell-Exploit. Quelle: Pashov

Erste Kommentare des Moonwell-Teams deuteten darauf hin, dass zu Beginn keine umfangreichen Tests oder Audits durchgeführt wurden. Später behauptete das Team, dass Unit- und Integrationstests in einem separaten Pull Request vorhanden waren und dass eine Prüfung durch Halborn beauftragt wurde. Pashovs Einschätzung blieb, dass die Fehldarstellung möglicherweise durch einen ausreichend rigorosen Integrationstest entdeckt worden wäre, der On-Chain- und Off-Chain-Logik verbindet, doch lehnte es ab, eine bestimmte Prüfungsfirma direkt verantwortlich zu machen. Die Debatte berührte die Frage, ob KI-generierter oder KI-unterstützter Code als unzuverlässige Eingabe betrachtet werden sollte, die strengen Governance-Prozessen, Versionskontrolle und Mehrpersonen-Reviews unterliegt – insbesondere in risikoreichen Bereichen wie Zugriffskontrollen, Orakel-Interaktionen, Preislogik und Upgrade-Pfaden.

Abgesehen von den technischen Details hat der Moonwell-Vorfall die breitere Diskussion über die Rolle von KI im Entwicklungszyklus von Krypto-Projekten verschärft. Fraser Edwards, Mitgründer und CEO von cheqd, einem Anbieter dezentraler Identitätsinfrastrukturen, argumentierte, dass die Debatte um „Vibe Coding“ zwei unterschiedliche Realitäten in der KI-Nutzung verschleiert. Einerseits könnten unerfahrene Gründer auf KI setzen, um Code zu entwerfen, den sie nicht reviewen können; andererseits könnten erfahrene Entwickler KI nutzen, um Refactorings zu beschleunigen, Muster zu erkunden und Ideen innerhalb einer ausgereiften Engineering-Disziplin zu testen. Edwards betonte, dass KI-gestützte Entwicklung im MVP-Stadium wertvoll sein kann, aber niemals eine produktionsreife Infrastruktur in kapitalintensiven Umgebungen wie DeFi ersetzen sollte.

Edwards forderte, dass jeglicher KI-generierter Smart-Contract-Code als unzuverlässige Eingabe behandelt werden sollte, die eine robuste Versionskontrolle, klar definierte Eigentumsverhältnisse, Peer-Reviews durch mehrere Personen und fortschrittliche Tests erfordert – insbesondere bei Modulen, die Zugriffskontrollen, Orakel, Preislogik und Upgrademechanismen steuern. Er fügte hinzu, dass verantwortungsvolle KI-Integration letztlich von Governance und Disziplin abhängt, mit expliziten Prüfungsphasen und einer Trennung zwischen Codegenerierung und Validierung. Das Ziel ist sicherzustellen, dass Deployments in feindlichen Umgebungen latent vorhandene Risiken enthalten, die proaktiv gemindert werden müssen.

Kleiner Verlust, große Governance-Fragen

Der Moonwell-Vorfall steht im größeren Kontext, in dem das Risikobewusstsein von DeFi auf sich entwickelnde Entwicklungsmethoden trifft. Während die Dollar-Summe dieses Exploits im Vergleich zu einigen der berüchtigtsten DeFi-Hacks – etwa dem Ronin-Brückenangriff im März 2022, bei dem über 600 Millionen US-Dollar gestohlen wurden – gering erscheint, zeigt das Ereignis, wie Governance-Entscheidungen, Testgenauigkeit und Tooling-Entscheidungen die Ergebnisse in Echtzeit beeinflussen können. Die Kombination aus KI-gestützten Änderungen, einer Fehldarstellung im Preis-Oracle und einem bereits auditierten Code wirft eine zentrale Frage auf: Wie sollten Projekte Geschwindigkeit, Innovation und Sicherheit ausbalancieren, wenn KI Teil des Entwicklungsprozesses ist? Die Lehren gelten für jedes Protokoll, das auf externe Preisfeeds und komplexe Upgradepfade angewiesen ist, insbesondere wenn diese Upgrades die Kollateralisierung und Liquiditätsrisiken betreffen.

Während die Branche diese Faktoren abwägt, dient der Moonwell-Fall als praktischer Stresstest für Sicherheitsmodelle, die versuchen, KI-gestützte Entwicklung zu skalieren, ohne wesentliche Schutzmechanismen zu kompromittieren. Er zeigt, dass selbst bei bestehenden Audits und Tests eine End-to-End-Validierung, die On-Chain- und Off-Chain-Interaktionen umfasst, unerlässlich bleibt. Das Spannungsfeld zwischen schneller Iteration und umfassender Verifikation wird wahrscheinlich bestehen bleiben, insbesondere da immer mehr Protokolle KI-gestützte Tools einsetzen, um mit Innovation Schritt zu halten und gleichzeitig die Sicherheit zu wahren.

„Vibe Coding“ vs. disziplinierte KI-Nutzung

Die Diskussion um KI-gestütztes Coding im Krypto-Bereich hat sich von einer binären Kritik an KI versus menschliche Entwickler hin zu einer differenzierteren Debatte über Prozesse verschoben. Edwards’ Überlegungen unterstreichen, dass KI ein produktives Hilfsmittel sein kann, wenn sie innerhalb eines disziplinierten Rahmens eingesetzt wird, der Schutzvorrichtungen, Eigentumsverhältnisse und rigorose Tests betont. Der Fall Moonwell bestätigt die Erkenntnis, dass KI-generierter Code ebenso sorgfältig geprüft werden muss wie handgeschriebener Code – wenn nicht sogar mehr, angesichts der erhöhten Risiken in DeFi.

Praktisch bedeutet dies, dass die Governance-Modelle für KI-gestützte Workflows in Smart-Contract-Teams neu bewertet werden sollten: Wer besitzt die KI-generierten Ergebnisse, wie werden Änderungen überprüft, und wie spiegeln automatisierte Tests reale Szenarien auf der Blockchain wider? Der zentrale Punkt ist nicht, die Technologie zu dämonisieren, sondern sicherzustellen, dass Governance-Kanäle, Audit-Pipelines und On-Chain-Validierung robust genug sind, um Fehldarstellungen und Fehldarstellungen zu erkennen, bevor Kapital gefährdet wird.

Was als Nächstes zu beobachten ist

Moonwell plant Maßnahmen zur Behebung und Governance-Änderungen nach dem Exploit, inklusive Anpassungen bei der Oracle-Integration und Upgrade-Pfaden.

Auditoren und das Moonwell-Team veröffentlichen eine detaillierte Nachbetrachtung sowie ein überarbeitetes Testframework, das On-Chain-Szenarien explizit mit Unit- und Integrationstests verbindet.

Zusätzliche unabhängige Audits konzentrieren sich auf KI-gestützte Entwicklungsprozesse und deren Einfluss auf kritische Smart-Contract-Komponenten.

On-Chain-Überwachung und Alarmierungssysteme werden verbessert, um Preisabweichungen in Echtzeit zu erkennen und Schutzmaßnahmen wie Circuit Breaker oder Pausenmechanismen auszulösen.

Quellen & Verifikation

Moonwell Contracts v2 Pull Request, der das Fehldarstellungsproblem offenlegte: https://github.com/moonwell-fi/moonwell-contracts-v2/pull/578

Öffentliche Diskussion des Sicherheitsexperten Pashov zu KI-gestützten Commits bei Moonwell: https://x.com/pashov/status/2023872510077616223

Hintergrund zu DeFi-Exploits und Governance-Implikationen (Ronin-Brücke, Nomad-Brücke etc.) in verwandter Berichterstattung: https://cointelegraph.com/news/battle-hardened-ronin-bridge-to-axie-reopens-following-600m-hack und https://cointelegraph.com/news/suspect-behind-190-million-nomad-bridge-hack-extradited-us

Verwandte Diskussionen zu KI in der Krypto-Governance und Untersuchungen zu KI-gestützter Entwicklung in Branchenforen

KI-gestütztes Coding, Fehldarstellung und Governance bei Moonwell: Was es für DeFi bedeutet

Die Erfahrung von Moonwell zeigt eine praktische Spannung an der Schnittstelle zwischen KI-gestützter Tooling und DeFi-Sicherheit. Eine ausnutzbare Fehldarstellung bei der cbETH-Preisdatenquelle verdeutlicht, dass selbst moderate numerische Fehler in Oracles bei levered Strategien und Finanzierungen zu erheblichen Verlusten führen können. Die übergeordnete Lehre lautet: KI-gestützte Entwicklung kann Iterationen beschleunigen, ersetzt aber nicht die Notwendigkeit rigoroser End-to-End-Validierungen, die reale Blockchain-Interaktionen simulieren.

Kurzfristig sollte das Ereignis die Protokollteams dazu veranlassen, Governance-Strukturen rund um Codegenerierung, Review-Verantwortlichkeiten und das Gleichgewicht zwischen automatisiertem Tooling und menschlicher Kontrolle zu überdenken. Es betont auch die Bedeutung robuster Integrationstests, die On-Chain-Statusänderungen mit externen Datenfeeds verbinden, um Fehldarstellungen zu verhindern, die Risikokontrollen umgehen könnten. Während andere Projekte mit KI-gestützten Workflows experimentieren, wird Moonwells Fall wahrscheinlich als Referenz dienen, wie man Geschwindigkeit mit Sicherheit in Einklang bringt und wer die Verantwortung trägt, wenn KI-gestützter Code zu einer Schwachstelle beiträgt.

Dieser Artikel wurde ursprünglich veröffentlicht unter Moonwell by $1.78M Exploit und KI-Coding-Debatte erreicht DeFi auf Crypto Breaking News – Ihrer vertrauenswürdigen Quelle für Krypto-News, Bitcoin-News und Blockchain-Updates.