Makina Finance, un protocole de finance décentralisée sur Ethereum, a perdu environ 4,2 millions de dollars après qu’un attaquant a exploité un mécanisme d’oracle vulnérable dans son pool stableswap DUSD/USDC, la société de sécurité blockchain CertiK retraçant la majorité des fonds volés vers une adresse de MEV builder.
Ce qui s’est passé : le pool stableswap vidé
L’attaquant a utilisé un flash loan de 280 millions d’USDC pour exécuter l’exploit, selon l’analyse de CertiK.
Environ 170 millions d’USDC ont servi à manipuler le MachineShareOracle sur lequel le pool DUSD/USDC s’appuie pour la tarification.
Les 110 millions d’USDC restants ont ensuite été échangés contre le pool d’environ 5 millions de dollars, le vidant presque entièrement.
Le chercheur en sécurité n0b0dy a identifié la cause racine comme une fonction permissionless appelée « updateTotalAum() » qui permet à n’importe qui de rafraîchir l’ancre de prix du protocole au milieu d’une transaction.
L’oracle ne disposait ni de délais, ni de prix moyens pondérés par le volume, ni de contrôles d’accès — ce qui a permis à l’attaquant d’intégrer des soldes de pool manipulés dans le système comptable au sein d’une seule transaction.
Les systèmes de sécurité TenArmor ont détecté l’attaque et confirmé environ 4,2 millions de dollars de pertes.
À lire aussi : [Ethereum Staking Hits 30% All-Time High As $115B Gets Locked Away(https://yellow.com/news/ethereum-staking-hits-30-all-time-high-as-dollar115b-gets-locked-away)
Pourquoi c’est important : des failles de conception d’oracle
L’exploit met en lumière une vulnérabilité persistante dans les protocoles DeFi qui reposent sur des oracles à prix spot sans protections adéquates.
Lorsque les prix des parts peuvent être mis à jour instantanément à partir des soldes actuels du pool, les déséquilibres temporaires créés par des flash loans deviennent une « vérité » exploitable pour les calculs de prix.
Tout pool échangeant du DUSD contre cet oracle est devenu de fait un mécanisme de paiement pour l’attaquant.
À lire ensuite : ASTER Hits All-Time Low At $0.61 Despite Strategic Buyback Activation