Un sofisticato exploit contro Drift Protocol sembra aver prosciugato circa 285 milioni di dollari dopo che un attaccante ha manipolato i prezzi degli oracle usando un token fabbricato, ha sfruttato una chiave admin compromessa e ha disabilitato i principali meccanismi di sicurezza sui prelievi.
Collaterale falso preparato settimane prima
Secondo un’analisi on-chain condivisa dal ricercatore indipendente Ares, l’exploit è iniziato settimane prima del vero e proprio drenaggio. L’attaccante ha mintato 750 milioni di unità di un asset falso chiamato “CarbonVote Token” (CVT) e ha creato un pool di liquidità su Raydium (RAY) con appena 500 $ di liquidità, fissandone artificialmente il prezzo vicino a 1 $.
Nel corso di diverse settimane, l’attaccante avrebbe effettuato wash trading sul token per costruire una storia di prezzo on-chain credibile, permettendo che venisse integrato dai meccanismi oracle come valore di collaterale legittimo.
Compromissione della chiave admin e rimozione delle salvaguardie
Il 1° aprile, l’attaccante ha usato una chiave admin di Drift compromessa per listare CVT come mercato spot. Nella stessa transazione, le soglie delle guardie di prelievo su più mercati sono state alzate a livelli estremi, disattivando di fatto i limiti progettati per prevenire grandi deflussi.
Da leggere anche: Bitcoin Redistribution Phase Echoes Q2 2022 Bear Market - Glassnode Report
L’attaccante ha poi depositato circa 785 milioni di CVT, valutati 785 milioni di dollari in base al prezzo oracle manipolato, su più account.
Vault prosciugati in pochi minuti
Usando il collaterale gonfiato, l’attaccante ha eseguito 31 transazioni di prelievo in circa 12 minuti, prosciugando asset da più vault.
Tra questi, 66,4 milioni di dollari in USDC, 42,7 milioni di dollari in JLP, 23,3 milioni di dollari in MOODENG (MOODENG) e importi minori di altri token.
I fondi sono stati successivamente consolidati, parzialmente bruciati tramite rimozione di liquidità perpetua e convertiti in SOL prima di essere distribuiti tra più wallet.
L’uso di più chiavi di firma suggerisce o una compromissione più ampia dell’infrastruttura operativa o l’accesso a credenziali privilegiate, sollevando ulteriori preoccupazioni sui controlli di sicurezza interni.
Successivo da leggere: CLARITY Act Stablecoin Deal Could Come Within 48 Hours, Coinbase CLO Predicts