Un sofisticato exploit contro Drift Protocol sembra aver svuotato circa 285 milioni di dollari dopo che un attaccante ha manipolato i prezzi degli oracle usando un token fittizio, ha sfruttato una chiave admin compromessa e ha disattivato i principali meccanismi di sicurezza sui prelievi.
Collaterale falso preparato settimane prima
Secondo l’analisi on‑chain condivisa dal ricercatore indipendente Ares, l’exploit è iniziato settimane prima del vero e proprio drain. L’attaccante ha mintato 750 milioni di unità di un asset falso chiamato “CarbonVote Token” (CVT) e ha creato un pool di liquidità su Raydium (RAY) con appena 500 $ di liquidità, fissandone artificialmente il prezzo vicino a 1 $.
Nel corso di diverse settimane, l’attaccante avrebbe effettuato wash trading sul token per costruire una cronologia di prezzo on‑chain credibile, consentendo che fosse rilevato dai meccanismi oracle come collaterale legittimo.
Compromissione della chiave admin e rimozione delle salvaguardie
Il 1° aprile, l’attaccante ha usato una chiave admin di Drift compromessa per listare CVT come mercato spot. Nella stessa transazione, le soglie delle guardie sui prelievi in più mercati sono state alzate a livelli estremi, disattivando di fatto i limiti progettati per prevenire massicce uscite di fondi.
Also Read: Bitcoin Redistribution Phase Echoes Q2 2022 Bear Market - Glassnode Report
L’attaccante ha quindi depositato circa 785 milioni di CVT, valutati 785 milioni di dollari in base al prezzo oracle manipolato, su più account.
Vault prosciugati in pochi minuti
Usando il collaterale gonfiato, l’attaccante ha eseguito 31 transazioni di prelievo in circa 12 minuti, svuotando asset da molteplici vault.
Tra questi, 66,4 milioni di dollari in USDC, 42,7 milioni in JLP, 23,3 milioni in MOODENG (MOODENG) e importi minori di altri token.
I fondi sono stati successivamente consolidati, in parte “bruciati” tramite rimozione di liquidità perpetua e convertiti in SOL prima di essere distribuiti tra più wallet.
L’uso di molteplici chiavi di firma suggerisce o una compromissione più ampia dell’infrastruttura operativa o l’accesso a credenziali privilegiate, sollevando ulteriori preoccupazioni sui controlli interni di sicurezza.
Read Next: CLARITY Act Stablecoin Deal Could Come Within 48 Hours, Coinbase CLO Predicts