Dos protocols de préstecs DeFi han patit danys per valor de 84 milions de wons a causa d'un atac de manipulació de preus

Les plataformes de préstecs DeFi (finançes descentralitzades) Tectonic i Moonwell han estat víctimes d'atacs de manipulació de preus en un període de quatre dies, registrant conjuntament pèrdues per valor de més de 84 milions de dòlars. En ambdós casos, els atacants van inflar artificialment el preu de tokens amb baixa liquiditat per augmentar el valor de les garanties, i posteriorment van retirar actius d'aquests tokens cap a pools de liquiditat més profunds. Aquest mètode és pràcticament idèntic a la tècnica d'oracle manipulation, de la qual les autoritats reguladores dels Estats Units ja havien advertit. Un incident important a tingut lloc a la cadena de blocs Cronos, amb conseqüències greus. Segons la companyia de seguretat GoPlus, un atacant ha manipulat el preu del token TONIC, fent que augmentés ràpidament en pocs minuts. L'atacant ha creat un cicle repetitiu de dipòsits i préstecs, utilitzant tokens TONIC com a garantia, que tenien un coeficient de garantia d'aproximadament el 20% a la plataforma Tectonic. A mesura que el preu augmentava, el valor de la garantia reconeguda per Tectonic va arribar finalment a uns 37,5 milions de dòlars. Amb aquesta garantia, l'atacant va poder retirar actius líquids per valor d'aproximadament 7,5 milions de dòlars, incloent-hi USDT. Una part d'aquests actius, per valor d'uns 600.000 dòlars, van ser transferits a Ethereum i intercanviats per aproximadament 2.600 ETH. Com a resposta, Cronos va interrompre completament la producció de blocs per evitar més transferències d'actius. Fins a dilluns, la cadena Cronos encara està aturada, i Tectonic encara no ha fet un comunicat oficial sobre l'abast total dels danys. El 27 d'agost, tres dies abans, el mercat MAMO de Moonwell, que opera a la cadena Base, va ser atacat. L'atacant va injectar aproximadament 1,95 milions de dòlars en USDC per adquirir més de 94 milions de tokens MAMO. Després, va transferir directament 53 milions de MAMO al contracte de garantia mMAMO de Moonwell, augmentant la quantitat de l'actiu subjacents representat per cada participació existent en aproximadament 3,7 vegades, sense emetre participacions addicionals. Simultàniament, el preu de mercat de MAMO va augmentar bruscament, passant d'aproximadament 0,0106 dòlars a 0,4313 dòlars. Aquestes dues evolucions van inflar significativament el valor de garantia reconegut, i l'atacant va obtenir préstecs per un total d'aproximadament 11 milions de dòlars en 18 operacions, incloent-hi cbBTC, WETH, USDC i wstETH, que després va retirar. Tot i que la liquidació va començar 32 segons després de la finalització de l'últim préstec, van quedar deutes pendents per valor d'aproximadament 9,1 milions de dòlars. L'empresa de seguretat SlowMist ha estimat les pèrdues en uns 8,7 milions de dòlars, i ha assenyalat que la dependència del preu del mercat MAMO, que té una liquiditat limitada, era la principal vulnerabilitat. Els dos casos tenen com a origen estructural l'incident de Mango Markets del 2022. Avraham Eisenberg va crear una posició vinculada al token MNGO i, a continuació, va comprar de manera agressiva en un mercat amb un baix volum de transaccions, augmentant el preu de MNGO en més de 13 vegades en només uns 30 minuts. Utilitzant això com a garantia, va retirar més de 110 milions de dòlars en actius digitals de Mango Markets. La Commodity Futures Trading Commission (CFTC) va qualificar això com un "pla manipulador i fraudulent" i va afirmar que és el primer cas regulatori que aborda la manipulació d'oracles en plataformes descentralitzades d'actius digitals. Per la seva banda, la Securities and Exchange Commission (SEC) va presentar una demanda separada, argumentant que Eisenberg va manipular artificialment el preu de MNGO per retirar aproximadament 116 milions de dòlars. Tot i que han passat més de tres anys des de les mesures judicials en qüestió, els casos de Tectonic i Munwell demostren que les mateixes estratègies d'atac econòmic encara són efectives.