Makina Finance, zdecentralizowany protokół finansowy działający na Ethereum, stracił około 4,2 mln USD po tym, jak atakujący wykorzystał podatny mechanizm orakla w jego puli stableswap DUSD/USDC. Firma zajmująca się bezpieczeństwem blockchain CertiK prześledziła większość skradzionych środków do adresu kreatora MEV.
Co się stało: Opróżnienie puli stableswap
Atakujący wykorzystał flash pożyczkę w wysokości 280 mln USDC do przeprowadzenia ataku, zgodnie z analizą CertiK według.
Około 170 mln USDC zostało użyte do manipulacji MachineShareOracle, na którym pula DUSD/USDC polega przy ustalaniu cen.
Pozostałe 110 mln USDC zostało następnie wymienione przeciwko puli o wartości około 5 mln USD, niemal całkowicie ją opróżniając.
Badacz bezpieczeństwa n0b0dy zidentyfikował główną przyczynę jako funkcję bez uprawnień o nazwie „updateTotalAum()”, która pozwala każdemu odświeżyć kotwicę cenową protokołu w trakcie jednej transakcji.
Orakl nie miał opóźnień czasowych, wolumenowo ważonej średniej ceny ani kontroli dostępu — co pozwoliło atakującemu wprowadzić zmanipulowane salda puli do systemu księgowego w ramach pojedynczej transakcji.
Systemy bezpieczeństwa TenArmor wykryły atak i potwierdziły straty w wysokości około 4,2 mln USD.
Zobacz także: [Ethereum Staking Hits 30% All-Time High As $115B Gets Locked Away(https://yellow.com/news/ethereum-staking-hits-30-all-time-high-as-dollar115b-gets-locked-away)
Dlaczego to ważne: Błędy w projektowaniu orakli
Ten atak uwydatnia uporczywą podatność protokołów DeFi, które polegają na oraklach z cenami spot bez odpowiednich zabezpieczeń.
Gdy ceny udziałów mogą być aktualizowane natychmiast na podstawie bieżących sald puli, tymczasowe zaburzenia równowagi stworzone przez flash pożyczki stają się możliwą do wykorzystania „prawdą” dla obliczeń cenowych.
Każda pula handlująca DUSD w oparciu o ten orakl stawała się de facto mechanizmem wypłat dla atakującego.
Przeczytaj następne: ASTER Hits All-Time Low At $0.61 Despite Strategic Buyback Activation