Makina Finance, un protocolo de finanzas descentralizadas en Ethereum, perdió aproximadamente 4,2 millones de dólares después de que un atacante explotara un mecanismo de oráculo vulnerable en su pool stableswap de DUSD/USDC, y la firma de seguridad en cadena CertiK rastreara la mayoría de los fondos robados hasta una dirección de un constructor MEV.
Qué pasó: se drenó el pool stableswap
El atacante utilizó un préstamo relámpago de 280 millones de USDC para ejecutar el exploit, according al análisis de CertiK.
Alrededor de 170 millones de USDC se destinaron a manipular el MachineShareOracle del que depende el pool DUSD/USDC para la fijación de precios.
Los 110 millones de USDC restantes se negociaron luego contra el pool de aproximadamente 5 millones de dólares, drenándolo casi por completo.
El investigador de seguridad n0b0dy identified la causa raíz como una función sin permisos llamada "updateTotalAum()" que permite a cualquiera actualizar el ancla de precios del protocolo en mitad de una transacción.
Al oráculo le faltaban retrasos temporales, precios medios ponderados por volumen y controles de acceso, lo que permitió al atacante incorporar saldos de pool manipulados en el sistema contable dentro de una única transacción.
Los sistemas de seguridad de TenArmor detected el ataque y confirmaron unas pérdidas de aproximadamente 4,2 millones de dólares.
También lea: [Ethereum Staking Hits 30% All-Time High As $115B Gets Locked Away(https://yellow.com/news/ethereum-staking-hits-30-all-time-high-as-dollar115b-gets-locked-away)
Por qué importa: fallos de diseño del oráculo
El exploit pone de relieve una vulnerabilidad persistente en los protocolos DeFi que dependen de oráculos de precio spot sin las salvaguardias adecuadas.
Cuando los precios de las participaciones pueden actualizarse al instante a partir de los saldos actuales del pool, los desequilibrios temporales creados por los préstamos relámpago se convierten en una "verdad" explotable para los cálculos de precios.
Cualquier pool que negociara DUSD contra ese oráculo se convirtió efectivamente en un mecanismo de pago para el atacante.
Lea a continuación: ASTER Hits All-Time Low At $0.61 Despite Strategic Buyback Activation