Makina Finance, een gedecentraliseerd finance-protocol op Ethereum, verloor ongeveer $4,2 miljoen nadat een aanvaller een kwetsbaar oracle-mechanisme uitbuitte in zijn DUSD/USDC stableswap-pool, waarbij blockchainbeveiligingsbedrijf CertiK het merendeel van de gestolen fondsen naar een MEV-builderadres herleidde.
Wat er gebeurde: stableswap-pool leeggetrokken
De aanvaller gebruikte een flashloan van 280 miljoen USDC om de exploit uit te voeren, volgens een analyse van CertiK.
Ongeveer 170 miljoen USDC werd gebruikt om de MachineShareOracle te manipuleren waar de DUSD/USDC-pool op vertrouwt voor prijsbepaling.
De resterende 110 miljoen USDC werd vervolgens verhandeld tegen de pool van ongeveer $5 miljoen, waardoor deze bijna volledig werd leeggetrokken.
Beveiligingsonderzoeker n0b0dy identificeerde de hoofdoorzaak als een permissionless functie genaamd "updateTotalAum()" die iedereen toestaat het prijsanker van het protocol midden in een transactie te verversen.
De oracle had geen tijdsvertragingen, volumegewogen gemiddelde prijzen of toegangscontroles — waardoor de aanvaller gemanipuleerde poolbalansen in het boekhoudsysteem kon opnemen binnen één enkele transactie.
Beveiligingssysteem TenArmor detecteerde de aanval en bevestigde een verlies van ongeveer $4,2 miljoen.
Ook lezen: [Ethereum Staking Hits 30% All-Time High As $115B Gets Locked Away(https://yellow.com/news/ethereum-staking-hits-30-all-time-high-as-dollar115b-gets-locked-away)
Waarom het belangrijk is: ontwerpfouten in oracles
De exploit benadrukt een hardnekkige kwetsbaarheid in DeFi-protocollen die vertrouwen op spot-priced oracles zonder adequate beveiligingsmechanismen.
Wanneer aandeelkoersen direct kunnen worden bijgewerkt op basis van huidige poolbalansen, worden tijdelijke onevenwichtigheden die door flashloans worden gecreëerd een uitbuitbare "waarheid" voor prijsberekeningen.
Elke pool die DUSD tegen die oracle verhandelde, werd feitelijk een uitbetalingsmechanisme voor de aanvaller.
Lees hierna: ASTER Hits All-Time Low At $0.61 Despite Strategic Buyback Activation