Zaawansowany exploit wymierzony w Drift Protocol prawdopodobnie doprowadził do wyprowadzenia około 285 mln USD po tym, jak atakujący zmanipulował wycenę z orakli przy użyciu sfabrykowanego tokena, wykorzystał skompromitowany klucz admina i disabled core withdrawal safeguards.
Fałszywy kolateral budowany tygodniami
Zgodnie z analizą on-chain udostępnioną przez niezależnego badacza Ares, exploit rozpoczął się na tygodnie przed właściwym drenowaniem środków. Atakujący wybił 750 milionów jednostek fałszywego aktywa o nazwie „CarbonVote Token” (CVT) i stworzył pulę płynności na Raydium (RAY) zaledwie z 500 USD płynności, sztucznie ustawiając jego cenę blisko 1 USD.
Przez kilka tygodni atakujący miał przeprowadzać wash trading tego tokena, aby zbudować wiarygodną on-chainową historię cen, co pozwoliło mechanizmom orakli uznać go za legalny kolateral o realnej wartości.
Kompromitacja klucza admina i wyłączenie zabezpieczeń
1 kwietnia atakujący użył skompromitowanego klucza admina Drift, aby dodać CVT jako rynek spot. W tej samej transakcji progi zabezpieczeń dla wypłat na wielu rynkach zostały podniesione do skrajnych poziomów, co w praktyce wyłączyło limity zaprojektowane, by zapobiegać dużym odpływom środków.
Also Read: Bitcoin Redistribution Phase Echoes Q2 2022 Bear Market - Glassnode Report
Następnie atakujący zdeponował około 785 milionów CVT, wycenianych na 785 mln USD na podstawie zmanipulowanej ceny z orakla, na wielu kontach.
Skarbce wyczyszczone w kilka minut
Wykorzystując zawyżony kolateral, atakujący przeprowadził 31 transakcji wypłat w około 12 minut, wyciągając aktywa z wielu skarbców.
Obejmowały one 66,4 mln USD w USDC, 42,7 mln USD w JLP, 23,3 mln USD w MOODENG (MOODENG) oraz mniejsze ilości innych tokenów.
Środki następnie skonsolidowano, częściowo spalono poprzez usunięcie płynności z kontraktów perpetual i zamieniono na SOL, zanim zostały rozproszone po wielu portfelach.
Wykorzystanie wielu kluczy podpisujących sugeruje albo szerszą kompromitację infrastruktury operacyjnej, albo dostęp do uprzywilejowanych poświadczeń, co rodzi dodatkowe obawy o wewnętrzne mechanizmy bezpieczeństwa.
Read Next: CLARITY Act Stablecoin Deal Could Come Within 48 Hours, Coinbase CLO Predicts