OLY:CertiK首发:Mango market遭受攻击 损失1.16亿美元_Polygon

北京时间2022年10月11日6:19,CertiK Skynet天网监测到Mango market遭到黑客攻击,截至目前已损失1.16亿美元。攻击者操纵MNGO代币的价格,并恶意借贷超出应有数额的资产。

攻击步骤

① 在此交易中,攻击者向第一个帐户(CQvKSNn...)提供了500万枚USDC。

② 攻击者在订单簿中提供了4.83亿单位的MNGO perps(做空)。

CertiK:攻击者于一个地址铸造了1.5亿个SHELL代币:金色财经报道,据CertiK安全团队监测,北京时间2022年6月11日12:30 ,SHELL代币价格下跌超过56%。攻击者于一个地址铸造了1.5亿个代币,随后将其转移并在12次交易中将其售出。目前约有价值18万美元的代币已被提取,其余资金仍在以下地址:0x5ba8c3f55edc13c641d8612cd37ca89dc4e2cfb2[2022/6/13 4:21:38]

Balancer Labs宣布推出稳定池:金色财经报道,Balancer Labs发推文宣布推出稳定池,使之成为首个具备3种池子的AMM。目前Balancer Labs已经创建2个初始稳定池,分别是:staBAL3-BTC—WBTC/renBTC/sBTC及staBAL3- USD—DAI/USDC/USDT。[2021/7/9 0:37:58]

③ 之后攻击者向第二个账户(4ND8FVPjU...)注资。

动态 | NBA球员Spencer Dinwiddie表示将于1月13日启动其代币投资平台:据Decrypt消息,NBA球员Spencer Dinwiddie本周表示,尽管NBA威胁禁止他进入职业篮球联盟,但他的代币投资平台将于1月13日启动。据悉,联盟仍在审核Dinwiddie的修订提案,这意味着该平台不能保证在1月13日启用。此前消息,Dinwiddie于2019年10月宣布计划推出区块链投资平台DREAM Fan Shares,出售90种名为SD8 coins的代币,代币持有者将在未来三年内以4.95%的基本利率每月收到还款。但NBA对这一提议并不感兴奋,称这种平台违反NBA球员的集体谈判协议。[2020/1/11]

④ 然后以每单位0.0382美元的价格做多了4.83亿单位的MNGO perps。

⑤ 攻击者通过操纵价格预言机上MNGO的价格(在Mango market里面的市场价格),将其拉高到0.91美元,从而在第二个账户上获利。

⑥ 由于MNGO/美元的价格为每单位0.91美元(在Mango market里面的市场价格),第二个账户能够在Mango market上借用其他代币。攻击者还用第二个账户中的资金(原始存款+将借贷的MNGO资金出售所得)在Mango market上借入其他代币。 

⑦ 上述借款行为使第一个帐户的坏账总额为11,306,771.61美元,造成了115,182,674.43美元的资产损失。

除此之外,攻击者已提交将代币发回的建议:

https://dao.mango.markets/dao/MNGO/proposal/3WZ5DpZXDvNAK4JwPS1HDPzSinEJUGpBC4XXx9vPtnVS

漏洞分析

攻击者操纵了价格预言机中Mango代币的价格。

例如其中一个价格预言机Switchboard使用的是FTX和Raydium提供的价格。Raydium(https://solscan.io/account/34tFULR...)的流动性极低,易于操作。

写在最后

攻击发生后,CertiK的推特预警账号以及官方预警系统已于第一时间发布了消息。同时,CertiK也会在未来持续于官方公众号发布与项目预警(攻击、欺诈、跑路等)相关的信息。

CertiK中文社区

企业专栏

阅读更多

宁哥的web3笔记

金色财经 庞邺

DoraFactory

金色财经Maxwell

新浪VR-

Foresight News

Footprint

元宇宙之道

Beosin

SmartDeerCareer

郑重声明: 本文版权归原作者所有, 转载文章仅为传播更多信息之目的, 如作者信息标记有误, 请第一时间联系我们修改或删除, 多谢。

区块博客

[0:0ms0-7:141ms