Um exploit sofisticado direcionado à Drift Protocol aparentemente drenou cerca de US$ 285 milhões depois que um invasor manipulou o preço em oráculos usando um token fabricado, explorou uma chave de admin comprometida e disabled core withdrawal safeguards.
Colateral falso preparado semanas antes
De acordo com análise on-chain compartilhada pelo pesquisador independente Ares, o exploit começou semanas antes da drenagem em si. O invasor cunhou 750 milhões de unidades de um ativo falso chamado “CarbonVote Token” (CVT) e criou um pool de liquidez na Raydium (RAY) com apenas US$ 500 em liquidez, definindo artificialmente seu preço próximo de US$ 1.
Ao longo de várias semanas, o invasor teria feito wash trading com o token para construir um histórico de preço on-chain crível, permitindo que ele fosse captado pelos mecanismos de oráculo como valor de colateral legítimo.
Comprometimento da chave de admin e remoção de salvaguardas
Em 1º de abril, o invasor usou uma chave de admin da Drift comprometida para listar o CVT como mercado à vista. Na mesma transação, os limites de proteção de saques em vários mercados foram elevados a níveis extremos, desativando, na prática, restrições projetadas para impedir grandes saídas de fundos.
Also Read: Bitcoin Redistribution Phase Echoes Q2 2022 Bear Market - Glassnode Report
Em seguida, o invasor depositou aproximadamente 785 milhões de CVT, avaliados em US$ 785 milhões com base no preço manipulado do oráculo, em várias contas.
Cofres drenados em minutos
Usando o colateral inflado, o invasor executou 31 transações de saque em cerca de 12 minutos, drenando ativos em vários cofres.
Isso incluiu US$ 66,4 milhões em USDC, US$ 42,7 milhões em JLP, US$ 23,3 milhões em MOODENG (MOODENG) e quantias menores de outros tokens.
Os fundos foram posteriormente consolidados, parcialmente queimados por meio da remoção de liquidez perpétua e convertidos em SOL antes de serem distribuídos por várias carteiras.
O uso de múltiplas chaves de assinatura sugere um comprometimento mais amplo da infraestrutura operacional ou acesso a credenciais privilegiadas, levantando preocupações adicionais sobre os controles internos de segurança.
Read Next: CLARITY Act Stablecoin Deal Could Come Within 48 Hours, Coinbase CLO Predicts