Một vụ khai thác tinh vi nhắm vào Drift Protocol dường như đã rút khoảng 285 triệu USD sau khi kẻ tấn công thao túng giá oracle bằng một token giả mạo, lợi dụng một khóa quản trị (admin key) bị xâm phạm và disabled core withdrawal safeguards.
Tài sản thế chấp giả được chuẩn bị từ nhiều tuần trước
Theo phân tích on-chain được chia sẻ bởi nhà nghiên cứu độc lập Ares, vụ khai thác bắt đầu từ nhiều tuần trước khi xảy ra đợt rút tiền thực sự. Kẻ tấn công đã mint 750 triệu đơn vị một tài sản giả có tên “CarbonVote Token” (CVT) và tạo một pool thanh khoản trên Raydium (RAY) chỉ với 500 USD thanh khoản, từ đó thiết lập giá của token này gần 1 USD một cách giả tạo.
Trong vài tuần, kẻ tấn công được cho là đã tự giao dịch qua lại (wash trade) token này để xây dựng lịch sử giá đáng tin cậy trên chuỗi, cho phép nó được các cơ chế oracle ghi nhận như một tài sản thế chấp hợp lệ.
Khóa quản trị bị xâm phạm và gỡ bỏ cơ chế bảo vệ
Vào ngày 1 tháng 4, kẻ tấn công đã sử dụng một khóa admin của Drift đã bị xâm phạm để niêm yết CVT như một thị trường spot. Trong cùng giao dịch đó, các ngưỡng bảo vệ rút tiền trên nhiều thị trường đã bị nâng lên mức cực cao, trên thực tế là vô hiệu hóa các giới hạn được thiết kế để ngăn chặn dòng tiền rút ra quá lớn.
Also Read: Bitcoin Redistribution Phase Echoes Q2 2022 Bear Market - Glassnode Report
Sau đó, kẻ tấn công đã nạp khoảng 785 triệu CVT, được định giá 785 triệu USD dựa trên giá oracle đã bị thao túng, vào nhiều tài khoản khác nhau.
Các vault bị rút sạch chỉ trong vài phút
Sử dụng tài sản thế chấp đã được “thổi phồng”, kẻ tấn công thực hiện 31 giao dịch rút trong khoảng 12 phút, rút tài sản khỏi nhiều vault khác nhau.
Các khoản này bao gồm 66,4 triệu USD bằng USDC, 42,7 triệu USD bằng JLP, 23,3 triệu USD bằng MOODENG (MOODENG) và các khoản nhỏ hơn bằng những token khác.
Sau đó, số tiền bị rút được hợp nhất, một phần bị đốt thông qua việc gỡ bỏ thanh khoản perpetual và được chuyển đổi sang SOL trước khi được phân tán sang nhiều ví.
Việc sử dụng nhiều khóa ký cho thấy hoặc là cơ sở hạ tầng vận hành đã bị xâm phạm ở phạm vi rộng hơn, hoặc kẻ tấn công có quyền truy cập vào các thông tin xác thực đặc quyền, làm dấy lên thêm lo ngại về các kiểm soát bảo mật nội bộ.
Read Next: CLARITY Act Stablecoin Deal Could Come Within 48 Hours, Coinbase CLO Predicts