Um exploit sofisticado direcionado à Drift Protocol aparentemente drenou cerca de US$ 285 milhões depois que um atacante manipulou preços de oráculo usando um token fabricado, explorou uma chave de administrador comprometida e disabled core withdrawal safeguards.
Colateral falso criado semanas antes
De acordo com análise on-chain compartilhada pelo pesquisador independente Ares, o exploit começou semanas antes da drenagem em si. O atacante cunhou 750 milhões de unidades de um ativo falso chamado “CarbonVote Token” (CVT) e criou um pool de liquidez na Raydium (RAY) com apenas US$ 500 em liquidez, definindo artificialmente seu preço próximo de US$ 1.
Ao longo de várias semanas, o atacante teria feito wash trading com o token para construir um histórico de preço on-chain aparentemente crível, permitindo que ele fosse captado pelos mecanismos de oráculo como valor de colateral legítimo.
Comprometimento da chave de admin e remoção de proteções
Em 1º de abril, o atacante usou uma chave de admin comprometida da Drift para listar o CVT como um mercado spot. Na mesma transação, os limites de proteção de saque em vários mercados foram elevados a níveis extremos, efetivamente desativando restrições criadas para impedir grandes saídas de fundos.
Also Read: Bitcoin Redistribution Phase Echoes Q2 2022 Bear Market - Glassnode Report
Em seguida, o atacante depositou aproximadamente 785 milhões de CVT, avaliados em US$ 785 milhões com base no preço de oráculo manipulado, por meio de múltiplas contas.
Cofres drenados em minutos
Usando o colateral inflado, o atacante executou 31 transações de saque em cerca de 12 minutos, drenando ativos de vários cofres.
Isso incluiu US$ 66,4 milhões em USDC, US$ 42,7 milhões em JLP, US$ 23,3 milhões em MOODENG (MOODENG) e quantias menores de outros tokens.
Os fundos foram então consolidados, parcialmente queimados por meio da remoção de liquidez perpétua e convertidos em SOL antes de serem distribuídos entre várias carteiras.
O uso de múltiplas chaves de assinatura sugere um comprometimento mais amplo da infraestrutura operacional ou acesso a credenciais privilegiadas, levantando preocupações adicionais sobre os controles internos de segurança.
Read Next: CLARITY Act Stablecoin Deal Could Come Within 48 Hours, Coinbase CLO Predicts