Makina Finance, un protocole de finance décentralisée sur Ethereum, a perdu environ 4,2 millions de dollars après qu’un attaquant a exploité un mécanisme d’oracle vulnérable dans son pool stableswap DUSD/USDC, la société de sécurité blockchain CertiK retraçant la majorité des fonds volés vers une adresse de constructeur MEV.
Ce qui s’est passé : le pool stableswap vidé
L’attaquant a utilisé un prêt flash de 280 millions d’USDC pour exécuter l’exploit, according to CertiK's analysis.
Environ 170 millions d’USDC ont servi à manipuler le MachineShareOracle dont le pool DUSD/USDC dépend pour la tarification.
Les 110 millions d’USDC restants ont ensuite été échangés contre le pool d’environ 5 millions de dollars, le vidant presque entièrement.
Le chercheur en sécurité n0b0dy a identified la cause première comme une fonction sans permission appelée « updateTotalAum() » qui permet à quiconque d’actualiser l’ancre de prix du protocole au milieu d’une transaction.
L’oracle ne comportait ni délais temporels, ni tarification moyenne pondérée par le volume, ni contrôles d’accès — permettant à l’attaquant d’intégrer des soldes de pool manipulés dans le système comptable au sein d’une seule transaction.
Les systèmes de sécurité TenArmor ont detected l’attaque et confirmé environ 4,2 millions de dollars de pertes.
À lire aussi : [Ethereum Staking Hits 30% All-Time High As $115B Gets Locked Away(https://yellow.com/news/ethereum-staking-hits-30-all-time-high-as-dollar115b-gets-locked-away)
Pourquoi c’est important : failles de conception des oracles
L’exploit met en lumière une vulnérabilité persistante dans les protocoles DeFi qui s’appuient sur des oracles à prix spot sans protections adéquates.
Lorsque les prix des parts peuvent être mis à jour instantanément à partir des soldes actuels du pool, les déséquilibres temporaires créés par des prêts flash deviennent une « vérité » exploitable pour les calculs de prix.
Tout pool échangeant le DUSD contre cet oracle est devenu de fait un mécanisme de paiement pour l’attaquant.
À lire ensuite : ASTER Hits All-Time Low At $0.61 Despite Strategic Buyback Activation