Makina Finance ใช้ช่องโหว่เจาะระบบและขโมยเงินไป 5 ล้านดอลลาร์ ขณะที่บอท MEV ยึดเงินไป 4.1 ล้านดอลลาร์

ข้อมูลเชิงลึกที่สำคัญ

• มีรายงานว่า Makina Finance สูญเสียเงินประมาณ 5 ล้านดอลลาร์สหรัฐฯ เนื่องจากการถูกโจมตีด้วยสัญญาอัจฉริยะ
• บอท Mev ตัวหนึ่งฉวยโอกาสจากการโจมตีของผู้บุกรุก และกวาดเงินไปได้ 4.1 ล้านดอลลาร์จากเหตุการณ์ดังกล่าว
• บริษัท Makina Finance ยืนยันการโจมตีดังกล่าว แต่ระบุว่าเป็นเหตุการณ์ที่เกิดขึ้นเพียงครั้งเดียว พร้อมทั้งได้ดำเนินมาตรการป้องกันไว้แล้ว

โปรโตคอล DeFi Makina Finance สูญเสียเงินประมาณ 5 ล้านดอลลาร์สหรัฐฯ เนื่องจากการถูกโจมตีด้วยช่องโหว่ในสัญญาอัจฉริยะ บริษัทรักษาความปลอดภัยบล็อกเชน Certik รายงานการโจมตีดังกล่าวเมื่อคืนวันจันทร์

เขาตั้งข้อสังเกตว่าเงินทุนถูกถอนออกจากกลุ่มเงินทุนกลุ่มหนึ่งของ Makina Finance เหตุการณ์นี้ส่งผลกระทบต่อกลุ่มเงินทุน Stableswap Dialectic USD DUSD/USDC ของ Makina

เหตุการณ์โจมตีเกิดขึ้นได้อย่างไร?

จากข้อมูลของ Certik การโจมตีเกิดขึ้นเมื่อผู้โจมตีใช้ Flash Loan เพื่อควบคุม Oracle ของ Makina Finance โดยใช้ Flash Loan USDC มูลค่า 280 ล้านดอลลาร์สหรัฐ ผู้โจมตีใช้เงิน 170 ล้านดอลลาร์สหรัฐในการควบคุม MachineShareOracle ซึ่งเป็นตัวกำหนดราคาพูล DUSD/USDC

ด้วยวิธีนี้ แฮ็กเกอร์จึงสามารถแลกเปลี่ยน USDC ที่เหลืออยู่ 110 ล้านเหรียญ เพื่อดูด USDC ออกจากพูลไปประมาณ 5 ล้านเหรียญ วิศวกรด้านความปลอดภัยของ Certik ที่ไม่ได้ ระบุชื่อ ได้อธิบายเพิ่มเติมเกี่ยวกับวิธีการโจมตี โดยกล่าวถึงลักษณะเฉพาะของพูล DUSD

พูลดังกล่าวมีฟังก์ชัน ‘updateTotalAum’ ที่อนุญาตให้ทำการอัปเดตราคาของโทเค็น DUSD โดยไม่ต้องขออนุญาต ซึ่งทำให้ผู้โจมตีมีอิสระในการกระทำดังกล่าว

พวกเขาเขียนว่า:

ดังนั้น เขาจึงเชื่อว่าการผสมผสานระหว่างสินเชื่อระยะสั้นและการอัปเดตสินทรัพย์ภายใต้การบริหาร (AUM) โดยไม่ได้รับอนุญาต ทำให้เกิดช่องโหว่ขึ้น แฮ็กเกอร์ดำเนินการโจมตีในธุรกรรมเดียว พวกเขารีเฟรชข้อมูลราคาในระหว่างการทำธุรกรรม การกระทำนี้ทำให้พวกเขาสามารถโจมตีได้สำเร็จ

รายงานเกี่ยวกับจำนวนเงินที่สูญเสียไปนั้นแตกต่างกันไปในแต่ละบริษัทที่เชี่ยวชาญด้านความปลอดภัยของบล็อกเชน Certik ประเมินไว้ที่ประมาณ 5 ล้านดอลลาร์ ในขณะที่ Peckshield ระบุว่าอยู่ที่ 4.13 ล้านดอลลาร์ GoPlus ระบุตัวเลขไว้ที่ 5.1 ล้านดอลลาร์ และ TenArmor รายงานว่าอยู่ที่ประมาณ 4.2 ล้านดอลลาร์

ที่น่าสนใจคือ ผู้โจมตีไม่ได้ใช้บอท MEV ในการทำธุรกรรมส่วนใหญ่เพื่อนำเงินที่ขโมยมาไปใช้ บอทที่มีที่อยู่ 0xa6c2 กำลังจะถอนเงิน 4.1 ล้านดอลลาร์ออกจากพูลในชุดการซื้อขายหลายครั้ง ตอนนี้มันได้ย้ายเงินที่ขโมยมาไปยังที่อยู่ใหม่สองแห่งแล้ว

Makina Finance ยืนยันการพบช่องโหว่ แต่ระบุว่าเป็นช่องโหว่ที่เกิดขึ้นเพียงครั้งเดียว

ในขณะเดียวกัน โปรโตคอล DeFi ได้ยืนยันการแฮ็กดังกล่าว โดยระบุว่าเป็นเหตุการณ์เฉพาะที่ไม่ได้ส่งผลกระทบต่อพูลทั้งหมด โปรโตคอลได้เรียกร้องให้ผู้ให้บริการสภาพคล่องสำหรับพูล DUSD Curve ถอนสภาพคล่องของตนออกไป

มันเขียนว่า:

ที่น่าสนใจคือ โปรโตคอลยังระบุด้วยว่าได้เปิดใช้งานโหมดรักษาความปลอดภัยในเครื่องทั้งหมดแล้ว อย่างไรก็ตาม ทางหน่วยงานยังคงตรวจสอบเหตุการณ์ดังกล่าวอยู่ และวางแผนที่จะแจ้งขั้นตอนต่อไปให้ผู้ที่ได้รับผลกระทบทราบ

เหตุการณ์นี้เน้นให้เห็นถึงจุดอ่อนหลายประการที่โปรโตคอล DeFi ยังคงเผชิญอยู่ แม้ว่าจะมีการพัฒนาไปมากแล้วก็ตาม ในปีนี้ แพลตฟอร์ม DeFi มากกว่าสามแห่งสูญเสียเงินทุนไป Trubit ล้มเหลวเนื่องจากการถูกโจมตีจากช่องโหว่ ส่วน YO Protocol ประสบความสูญเสียจากความผิดพลาดของมนุษย์