Makina Financeは、Ethereum 上の分散型金融（DeFi）プロトコルであり、DUSD / USDC ステーブルスワッププールのオラクル仕組みに存在した脆弱性を攻撃者に悪用され、約420万ドルを失った。ブロックチェーンセキュリティ企業 CertiK は、盗まれた資金の大半がMEVビルダーアドレスへ送られたと追跡している。
何が起きたのか：ステーブルスワッププールの枯渇
CertiK の分析によると、攻撃者は2億8,000万USDCのフラッシュローンを利用してこのエクスプロイトを実行した。
このうち約1億7,000万USDCが、DUSD/USDCプールの価格決定に利用されている MachineShareOracle の操作に使われた。
残りの1億1,000万USDCは、約500万ドル規模のプールに対して取引され、プールはほぼ完全に枯渇した。
セキュリティ研究者の n0b0dy は、トランザクションの途中で誰でもプロトコルの価格アンカーを更新できる「updateTotalAum()」というパーミッションレス関数が根本原因であると指摘した。
このオラクルにはタイムロック（時間遅延）、出来高加重平均価格（VWAP）、アクセス制御が欠如しており、攻撃者は1つのトランザクション内で操作したプール残高を会計システムに反映させることができた。
TenArmor のセキュリティシステムは攻撃を検知し、約420万ドルの損失を確認した。
関連記事: [Ethereum Staking Hits 30% All-Time High As $115B Gets Locked Away(https://yellow.com/news/ethereum-staking-hits-30-all-time-high-as-dollar115b-gets-locked-away)
なぜ重要か：オラクル設計上の欠陥
このエクスプロイトは、適切な保護機構を持たないスポット価格ベースのオラクルに依存するDeFiプロトコルにおける、継続的な脆弱性を浮き彫りにした。
シェア価格がプール残高から即座に更新できる設計では、フラッシュローンによって一時的に生じた不均衡が、そのまま価格計算に用いられる「真実」として悪用されてしまう。
そのオラクルを参照してDUSDを取引するあらゆるプールは、事実上、攻撃者への支払いメカニズムとなっていた。
次に読む: ASTER Hits All-Time Low At $0.61 Despite Strategic Buyback Activation