Компании по безопасности оценили результаты эксплойта MakinaFi

Сразу несколько компаний по безопасности блокчейнов сообщили об эксплойте протокола MakinaFi в сети Ethereum, в результате которого из пула Dialectic USD/USDC было выведено около $5 млн. Первой об инциденте сообщили эксперты CertiK, указав, что пул стейблсвопа был скомпрометирован, а основная часть средств — около $4,14 млн — в итоге оказалась на адресе MEV-билдера. По оценке аналитиков, атака была проведена быстро и с использованием сложной цепочки операций.

Согласно данным CertiK, злоумышленник начал атаку с получения флешкредита в размере 280 млн USDC. Из этой суммы 170 млн USDC были использованы для манипуляции оракулом MachineShareOracle, от которого зависела цена в пуле DUSD/USDC. Оставшиеся 110 млн токенов атакующий провел через сам пул с ликвидностью около $5 млн, что позволило эффективно его опустошить.

Аналитики PeckShield подтвердили, что инцидент носит характер классической атаки с манипуляцией ценой. По их данным, фактический ущерб составил около 1299 ETH, что эквивалентно примерно $4,13 млн. Исследователи также отметили, что злоумышленник был частично опережен MEV-билдером, который перехватил несколько транзакций. В настоящий момент похищенные средства распределены между двумя адресами, на которых хранится около $3,3 млн и $880 тыс.соответственно.

Более детальный технический разбор предоставила команда BlockSec Phalcon. По их информации, корневая причина уязвимости заключалась в том, что одна функция некорректно полагалась на спотовую цену пула при расчете стоимости LP-активов. Общий ущерб BlockSec оценила в 5,107 млн USDC.

Схожие выводы озвучила и команда SlowMist. Их система мониторинга MistEye зафиксировала подозрительную активность, связанную с предварительной манипуляцией ликвидностью пула MIM-3LP3CRV-f с помощью флешкредита. Это привело к тому, что некая функция рассчитывала завышенное количество 3Crv-токенов для вывода, что искусственно увеличивало AUM хранилища. Поскольку цена DUSD напрямую зависела от AUM, злоумышленник смог косвенно манипулировать стоимостью стейблкоина.