Zaawansowany atak wymierzony w Drift Protocol prawdopodobnie doprowadził do wypłacenia około 285 mln USD po tym, jak atakujący zmanipulował wyceny orakla przy użyciu sfabrykowanego tokena, wykorzystał przejęty klucz administratora i disabled core withdrawal safeguards.
Fałszywy depozyt zbudowany tygodniami wcześniej
Zgodnie z analizą on-chain udostępnioną przez niezależnego badacza Ares, eksploatacja zaczęła się na tygodnie przed właściwym drenażem środków. Atakujący wyemitował 750 mln jednostek fałszywego aktywa o nazwie „CarbonVote Token” (CVT) i utworzył pulę płynności na Raydium (RAY) zaledwie z 500 USD płynności, sztucznie ustawiając cenę blisko 1 USD.
Przez kilka tygodni atakujący miał prowadzić wash trading tego tokena, aby zbudować wiarygodną historię cenową on-chain, co pozwoliło mechanizmom orakli traktować go jako legalne zabezpieczenie o realnej wartości.
Przejęcie klucza admina i wyłączenie zabezpieczeń
1 kwietnia atakujący użył przejętego klucza administratora Drift, aby dodać CVT jako rynek spot. W tej samej transakcji progi ochrony wypłat na wielu rynkach zostały podniesione do ekstremalnych poziomów, co w praktyce wyłączyło limity mające zapobiegać dużym odpływom środków.
Also Read: Bitcoin Redistribution Phase Echoes Q2 2022 Bear Market - Glassnode Report
Następnie atakujący zdeponował około 785 mln CVT, wycenianych na 785 mln USD na podstawie zmanipulowanej ceny z orakla, na wielu kontach.
Skarbce wyczyszczone w kilka minut
Wykorzystując zawyżone zabezpieczenie, atakujący wykonał 31 transakcji wypłat w około 12 minut, wyprowadzając aktywa z wielu skarbców.
Obejmowały one 66,4 mln USD w USDC, 42,7 mln USD w JLP, 23,3 mln USD w MOODENG (MOODENG) oraz mniejsze kwoty innych tokenów.
Środki zostały następnie skonsolidowane, częściowo spalone poprzez usunięcie płynności z kontraktów perpetual i zamienione na SOL, zanim trafiły do wielu różnych portfeli.
Wykorzystanie wielu kluczy podpisujących sugeruje albo szersze przejęcie infrastruktury operacyjnej, albo dostęp do uprzywilejowanych poświadczeń, co rodzi dodatkowe obawy dotyczące wewnętrznych mechanizmów bezpieczeństwa.
Read Next: CLARITY Act Stablecoin Deal Could Come Within 48 Hours, Coinbase CLO Predicts