Makina Finance, un protocolo de finanzas descentralizadas en Ethereum, perdió aproximadamente 4,2 millones de dólares después de que un atacante explotara un mecanismo de oráculo vulnerable en su pool stableswap DUSD/USDC, y la firma de seguridad blockchain CertiK rastreara la mayoría de los fondos robados hasta una dirección de un constructor MEV.
Qué ocurrió: se drenó el pool stableswap
El atacante utilizó un préstamo relámpago de 280 millones de USDC para ejecutar el exploit, según el análisis de CertiK.
Alrededor de 170 millones de USDC se destinaron a manipular el MachineShareOracle del que depende el pool DUSD/USDC para la fijación de precios.
Los 110 millones de USDC restantes se comerciaron contra el pool de aproximadamente 5 millones de dólares, drenándolo casi por completo.
El investigador de seguridad n0b0dy identificó la causa raíz como una función sin permisos llamada "updateTotalAum()" que permite a cualquiera actualizar el ancla de precios del protocolo en mitad de una transacción.
Al oráculo le faltaban retrasos temporales, precios promedio ponderados por volumen y controles de acceso, lo que permitió al atacante incorporar saldos de pool manipulados en el sistema contable dentro de una sola transacción.
Los sistemas de seguridad de TenArmor detectaron el ataque y confirmaron pérdidas de aproximadamente 4,2 millones de dólares.
También lee: [Ethereum Staking Hits 30% All-Time High As $115B Gets Locked Away(https://yellow.com/news/ethereum-staking-hits-30-all-time-high-as-dollar115b-gets-locked-away)
Por qué importa: fallos de diseño en el oráculo
El exploit pone de relieve una vulnerabilidad persistente en los protocolos DeFi que dependen de oráculos con precios spot sin las protecciones adecuadas.
Cuando los precios de las participaciones pueden actualizarse al instante a partir de los saldos actuales del pool, los desequilibrios temporales creados por préstamos relámpago se convierten en una "verdad" explotable para los cálculos de precios.
Cualquier pool que comerciara DUSD contra ese oráculo se convirtió, en la práctica, en un mecanismo de pago para el atacante.
Lee a continuación: ASTER Hits All-Time Low At $0.61 Despite Strategic Buyback Activation