Tento týden se jedná o druhý hackerský útok na decentralizované finance (DeFi) v hodnotě více než 100 milionů dolarů. Několik dní po řetězci NBB přišel útok na společnost Solana (SOL) a platformu Mango Markets. Hacker rafinovaně manipuloval s cenami tokenů, aby z protokolu ukradl 114 milionů dolarů.
Mango Market prodělává 114 milionů dolarů
Včera v podvečer oznámila platforma Mango Markets, že se stala obětí rozsáhlého útoku, který způsobil ztrátu přibližně 114 milionů dolarů. Služby decentralizované burzy byly částečně pozastaveny, dokud neproběhne další vyšetřování.
V současné době vyšetřujeme incident, při kterém se hackerovi podařilo odčerpat finanční prostředky ze společnosti Mango prostřednictvím manipulace s cenou Oracle.
Podnikáme kroky k tomu, aby třetí strany zmrazily finanční prostředky za letu. 1/
– Mango (@mangomarkets) October 11, 2022
V současné době vyšetřujeme incident, při kterém se útočníkovi podařilo odčerpat finanční prostředky ze společnosti Mango prostřednictvím manipulace s cenou Oracle. Podnikáme kroky k tomu, aby třetí strany zmrazily ukradené finanční prostředky.“
Podle počátečního výzkumu auditorské firmy OtterSec, která se zabývá blockchainem, byl útok výsledkem jemné manipulace s cenou nativního tokenu platformy MNGO. Hacker odčerpal z pokladny společnosti Mango Markets 114 milionů dolarů.
Kolem sedmé hodiny ranní byla strategie použitá hackerem oficiálně potvrzena společností Mango Markets. To potvrzuje spekulace odborníků @joshua_j_lim a OtterSec, kteří se shodují, že se jedná o útok „price oracle manipulation“.
Jak to hacker udělal
Konkrétně by hacker začal tím, že by uložil 5 milionů USDC na dva různé účty. Na začátku použil svůj první účet k otevření krátké pozice MNGO v hodnotě 483 milionů USD na trvalém kontraktu MNGO/USDC za cenu 0,03 USD za jednotku.
Svůj druhý účet pak použil k tomu, aby tuto pozici sám koupil otevřením sázky na růst, což způsobilo, že cena tokenu za méně než hodinu vyskočila téměř o 1000 %. Nakonec hacker tuto strategii několikrát použil k manipulaci s cenou MNGO, což mu umožnilo dosáhnout až 0,54 USD za jednotku na různých burzách, jako je Ascendex nebo FTX.
Cenová výkonnost MNGO vůči USDC
V důsledku toho věštírny Pyth a Switchboard používané společností Mango Markets aktualizovaly cenu MNGO. V důsledku toho byla býčí pozice hackera kladná přibližně o 132 milionů dolarů.
Tyto prostředky byly následně použity k půjčce proti několika tokenům prostřednictvím Mango Markets a k výběru prostředků prostřednictvím různých aktiv, jako jsou USDC, MSOL, SOL, BTC a USDT. Je zřejmé, že veškerá dostupná likvidita protokolu byla vyčerpána.
MNGO se v současné době obchoduje s cenou kolem 0,02 USD za jednotku. Sázková pozice v mínusu, kterou hacker otevřel na svém prvním účtu, je tedy v tuto chvíli kladná, a to přibližně o 12 milionů dolarů. Nedostatečná likvidita a pozastavení funkčnosti obchodování mu však neumožňuje vybírat zisky.
Co bude dál?
Nějakou dobu poté hacker navrhl komunitě Mango DAO hlasování o správě. V něm navrhl, aby byly do protokolu zaslány jeho finanční prostředky ve fondech SOL, MSOL a MNGO (přibližně 50 milionů dolarů), které by nahradily škodu všem uživatelům poškozeným v této kauze.
Dále žádá, aby v případě přijetí návrhu nebyly zmrazeny jeho finanční prostředky a aby bylo upuštěno od jakýchkoli právních kroků proti němu. Je zvláštní, že hacker použil 32 milionů MNGO, které vlastní, aby hlasoval pro návrh, což je asi 30 % tokenů způsobilých k hlasování.
Další průzkum zároveň ukázal, že prostředky hackera byly uloženy z účtu FTX. Na dotaz jednoho z uživatelů internetu generální ředitel FTX Sam Bankman-Fried potvrdil, že zahájil interní vyšetřování a je připraven přijmout nezbytná opatření.
Můžeme potvrdit, že vyšetřujeme a podnikneme příslušné kroky atd.
– SBF (@SBF_FTX) 12. října 2022
Připomínáme, že FTX je centralizovaná burza, která používá systém Know Your Customer (KYC). Jinými slovy, každý uživatel musí deklarovat svou identitu, aby si mohl na platformě vytvořit účet. Je tedy velmi pravděpodobné, že identitu hackera lze rychle vystopovat.
V prohlášení, které dnes ráno zveřejnila společnost Mango, protokolární tým potvrdil, že „tento incident fakticky vyčerpal všechny dostupné finanční prostředky“. Vyjádřila také otevřenost vůči ochotě hackera jednat a uvedla, že bude o výsledku incidentu nadále komunikovat.
