Dos protocolos de préstamos DeFi sufren pérdidas de 84 mil millones de wones debido a ataques de manipulación de precios

Las plataformas de préstamos descentralizadas (DeFi) Tectonic y Moonwell fueron objeto de ataques de manipulación de precios consecutivos en un lapso de cuatro días, lo que resultó en pérdidas combinadas superiores a los 84 millones de dólares. Ambos incidentes siguieron un patrón similar: los atacantes inflaron artificialmente el precio de tokens con baja liquidez, aumentando su valor como garantía, y luego retiraron activos de pools de liquidez más profundos. Este método es prácticamente idéntico a la manipulación de oráculos, algo de lo que las autoridades reguladoras de EE. UU. ya habían advertido. El incidente de Tectonic, que tuvo lugar en la cadena de bloques Cronos, causó mayores daños. Según la empresa de seguridad GoPlus, el atacante creó un bucle en el que depositaba y retiraba repetidamente el token TONIC, que tenía un volumen de negociación relativamente bajo, como garantía, lo que provocó un aumento drástico de su precio en cuestión de minutos. Tectonic asignaba un factor de garantía de aproximadamente el 20% a TONIC, y a medida que el precio subía, el valor de la garantía reconocida por el atacante se incrementó finalmente hasta alcanzar los 37,5 millones de dólares. Con esta garantía, el atacante retiró aproximadamente 75 millones de dólares en activos líquidos, incluyendo USDT. Parte de estos activos, por valor de unos 6 millones de dólares, fueron transferidos a Ethereum y luego intercambiados por aproximadamente 2.600 ETH. Como medida de precaución, Cronos detuvo por completo la producción de bloques para evitar más transferencias de activos. Al momento de redactar este informe, la cadena Cronos aún se encuentra inactiva, y Tectonic aún no ha publicado oficialmente el alcance total de las pérdidas. Tres días antes, el 27 de agosto, el mercado MAMO de Moonwell, que opera en la cadena Base, también fue atacado. El atacante inyectó aproximadamente 1,95 millones de dólares en USDC para adquirir más de 94 millones de tokens MAMO. Posteriormente, transfirió 53 millones de tokens MAMO directamente al contrato de garantía mMAMO de Moonwell, sin generar nuevas participaciones, lo que aumentó en aproximadamente 3,7 veces la cantidad de activos subyacentes representados por cada participación existente. Al mismo tiempo, el precio de mercado de MAMO se disparó de aproximadamente 0,0106 dólares a 0,4313 dólares. Estas dos acciones combinadas inflaron significativamente el valor de la garantía, lo que permitió al atacante obtener préstamos por un total de aproximadamente 11 millones de dólares en 18 transacciones, incluyendo cbBTC, WETH, USDC y wstETH. La liquidación comenzó 32 segundos después de la última transacción, pero quedaron pendientes aproximadamente 9,1 millones de dólares en deudas. La empresa de seguridad SlowMist estimó las pérdidas en aproximadamente 8,7 millones de dólares, señalando que la dependencia del precio del mercado MAMO, que tiene baja liquidez, fue la principal vulnerabilidad. La estructura fundamental de estos dos incidentes es similar al caso de Mango Markets, ocurrido en octubre de 2022. Avraham Eisenberg creó posiciones vinculadas al token MNGO y, a través de compras agresivas en un mercado con bajo volumen, aumentó el precio de MNGO en más de 13 veces en aproximadamente 30 minutos. Utilizó esta garantía para retirar más de 110 millones de dólares en activos digitales de Mango Markets. La Comisión de Comercio de Futuros de Productos Básicos (CFTC) calificó esto como un "esquema manipulador y engañoso", y señaló que fue el primer caso regulatorio que abordó la manipulación de oráculos en plataformas de activos digitales descentralizadas. La Comisión de Bolsa y Valores (SEC) también presentó una demanda separada, alegando que Eisenberg había inflado artificialmente el precio de MNGO para retirar aproximadamente 116 millones de dólares. Más de tres años después de estas acciones, los incidentes de Tectonic y Moonwell demuestran que el mismo tipo de ataque económico sigue siendo efectivo.