Solana-Based Defi Protocol Mango Markets теряет $117 млн в результате взлома, эксплойт якобы был раскрыт в Discord проекта в марте

Согласно различным сообщениям, торговая и кредитная платформа Mango Markets на базе Solana подверглась хакерской атаке, в результате которой злоумышленник смог выкачать из протокола 117 миллионов долларов. Анализ взлома, опубликованный Certik, объясняет, что злоумышленник манипулировал ценой нативного токена проекта mango (MNGO), что позволило ему занять 117 миллионов долларов под залог, который был использован.

Во вторник платформа Mango Markets, базирующаяся в Солане, была взломана на 117 миллионов долларов. Команда сообщила о проблеме в Твиттере в 19:36 вечера (ET) 11 октября.

«В настоящее время мы расследуем инцидент, в результате которого хакер смог вывести средства из Mango через манипуляции с ценой оракула», — говорится в подробной информации в Twitter-аккаунте Mango Market. «Мы принимаем меры, чтобы третьи стороны заморозили средства в пути. В качестве меры предосторожности мы отключим депозиты на первой стороне и будем держать вас в курсе событий по мере развития ситуации».

Фирма Certik, занимающаяся вопросами безопасности и аудита блокчейна, подвела итоги взлома Mango Market, объяснив, что хакеру удалось манипулировать токеном манго (MNGO).

«Злоумышленник использовал два адреса, чтобы манипулировать ценой MNGO — родного токена Mango и залогового актива — с $0,038 до пика в $0,91», — объясняет Certik в записке. «Это позволило им взять значительный заем под залог $MNGO, что они и сделали на сумму около $117 млн, хотя эта цифра колеблется из-за реакции цен на затронутые токены на новость».

По данным фирмы Hacken, занимающейся вопросами безопасности блокчейна, хакер начал с примерно 5 миллионов долларов США в USDC для достижения поставленных целей.

Официальный аккаунт Mango Market в Twitter подтвердил, что два счета, финансируемые USDC, открыли масштабную длинную позицию в «MNGO-PERP». «Базовые цены MNGO/USD на различных биржах (FTX, Ascendex) выросли в 5-10 раз за считанные минуты», — говорится в сообщении Mango.

Манго также добавил, что ни один из провайдеров oracle не был виноват в инциденте. Команда подчеркнула:

Мы хотим уточнить и упомянуть, что ни один из провайдеров oracle не виноват в случившемся. Ценовая отчетность oracle работала так, как и должна была работать.

Между тем, компания Certik, занимающаяся безопасностью и аудитом блокчейна, сообщила, что вектор атаки был якобы известен еще в марте 2022 года.

«Уязвимость здесь возникла из-за низкой ликвидности на рынке MNGO/USDC, который использовался в качестве ценового эталона для бессрочного свопа MNGO«, — говорится в резюме Certik. «Имея в своем распоряжении всего несколько миллионов USDC, злоумышленник смог взвинтить цену MNGO на 2 394%. Именно этот вектор атаки был поднят в Discord-канале Mango еще в марте этого года«, — говорится в заключении Certik.