北京时间2022年10月11日6:19，CertiK Skynet天网监测到Mango market遭到黑客攻击，截至目前已损失1.16亿美元。攻击者操纵MNGO代币的价格，并恶意借贷超出应有数额的资产。
攻击步骤
① 在此交易中，攻击者向第一个帐户（CQvKSNn...）提供了500万枚USDC。
② 攻击者在订单簿中提供了4.83亿单位的MNGO perps（做空）。
数据：Certus One自7月14日开始已累计将价值1210万美元的LDO转入币安:金色财经报道，据余烬监测，4 小时前，Certus One 继续将 100 万枚LDO(约合185万美元) 转入币安。
? Certus One 自 26 天前 (7/14) 开始，已累计将 6,517,487枚LDO(约合1210万美元) 转入币安；
? Certus One 已转入币安的 LDO 可能的出售均价为2.05美元；
? Certus One 目前还持有 3,482,513枚LDO(约合647万美元)。[2023/8/9 21:33:30]
Balancer上线Polygon网络:7月1日消息，Balancer上线Polygon，Balancer官方表示将与Polygon合作提升DeFi流动性，降低交易费用。Balancer将会在Polygon网络进行流动性挖矿。[2021/7/1 0:20:52]
③ 之后攻击者向第二个账户（4ND8FVPjU...）注资。
④ 然后以每单位0.0382美元的价格做多了4.83亿单位的MNGO perps。
去中心化交易所Balancer通过BAL流动性挖矿治理提案:Balancer协议于北京时间今日凌晨通过社区治理投票，再次修改其流动性挖矿奖金分配方案。Balancer以治理BAL为奖励为流动性提供者每周发放奖励。在新通过的提案中，每周14.5万的BAL奖金（约合350万美金）中将会有4.5万（约合108万美金）分发给BAL其它代币交易对的流动性提供者。该提案被认为更偏向于以BAL为基础的流动性池。[2020/8/25]
⑤ 攻击者通过操纵价格预言机上MNGO的价格（在Mango market里面的市场价格），将其拉高到0.91美元，从而在第二个账户上获利。
⑥ 由于MNGO/美元的价格为每单位0.91美元（在Mango market里面的市场价格），第二个账户能够在Mango market上借用其他代币。攻击者还用第二个账户中的资金（原始存款+将借贷的MNGO资金出售所得）在Mango market上借入其他代币。
⑦ 上述借款行为使第一个帐户的坏账总额为11,306,771.61美元，造成了115,182,674.43美元的资产损失。
除此之外，攻击者已提交将代币发回的建议：
https://dao.mango.markets/dao/MNGO/proposal/3WZ5DpZXDvNAK4JwPS1HDPzSinEJUGpBC4XXx9vPtnVS
漏洞分析
攻击者操纵了价格预言机中Mango代币的价格。
例如其中一个价格预言机Switchboard使用的是FTX和Raydium提供的价格。Raydium(https://solscan.io/account/34tFULR...)的流动性极低，易于操作。
写在最后
攻击发生后，CertiK的推特预警账号以及官方预警系统已于第一时间发布了消息。同时，CertiK也会在未来持续于官方公众号发布与项目预警（攻击、欺诈、跑路等）相关的信息。
CertiK中文社区
企业专栏
阅读更多
宁哥的web3笔记
金色财经 庞邺
DoraFactory
金色财经Maxwell
新浪VR-
Foresight News
Footprint
元宇宙之道
Beosin
SmartDeerCareer
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。