Deux protocoles de prêt DeFi ont subi une attaque de manipulation des prix, entraînant une perte de 84 milliards de wons

Les plateformes de prêt décentralisées (DeFi) Tectonic et Moonwell ont été victimes d'attaques de manipulation de prix à quelques jours d'intervalle, entraînant des pertes cumulées de plus de 84 millions de dollars. Dans les deux cas, les attaquants ont artificiellement gonflé le prix de tokens peu liquides en augmentant artificiellement leur valeur de garantie, avant de retirer des actifs de pools de liquidités plus importants. Cette méthode est pratiquement identique à celle de la manipulation d'oracle, que les autorités de régulation américaines avaient déjà mise en garde. L'incident de Tectonic, qui s'est produit sur la blockchain Cronos, a causé des dommages plus importants. Selon la société de sécurité GoPlus, l'attaquant a rapidement fait grimper le prix du token TONIC en répétant un cycle de dépôt et de prêt de TONIC en tant que garantie, alors que le volume de transactions était relativement faible. Tectonic attribuait un coefficient de garantie d'environ 20 % au TONIC, et à mesure que le prix augmentait, la valeur de garantie reconnue par l'attaquant a finalement atteint environ 37,5 millions de dollars. Fort de cela, l'attaquant a retiré des actifs liquides d'une valeur d'environ 7,5 millions de dollars, principalement en USDT. Une partie de ces actifs, d'une valeur d'environ 6 millions de dollars, a été transférée en Ethereum, puis échangée contre environ 2 600 ETH. Cronos a ensuite interrompu complètement la production de blocs pour empêcher tout autre transfert d'actifs. Au moment de la rédaction, la blockchain Cronos est toujours à l'arrêt, et Tectonic n'a pas encore officiellement annoncé l'ampleur totale des pertes. Trois jours auparavant, le 27 août, le marché MAMO de Moonwell, qui fonctionne sur la blockchain Base, a également été attaqué. L'attaquant a injecté environ 1,95 million de dollars en USDC pour accumuler plus de 94 millions de tokens MAMO. Ensuite, il a transféré 53 millions de tokens MAMO directement au contrat de garantie mMAMO de Moonwell, sans émettre de nouvelles parts, ce qui a multiplié par environ 3,7 le nombre d'actifs sous-jacents représentés par chaque part existante. Parallèlement, le prix du marché du MAMO a grimpé en flèche, passant d'environ 0,0106 dollar à 0,4313 dollar. Ces deux changements combinés ont considérablement gonflé la valeur de garantie, permettant à l'attaquant d'emprunter et de retirer environ 11 millions de dollars en effectuant un total de 18 opérations, incluant cbBTC, WETH, USDC et wstETH. La liquidation a commencé 32 secondes après la dernière opération d'emprunt, mais environ 9,1 millions de dollars de dettes impayées sont restés. La société de sécurité SlowMist estime les pertes à environ 8,7 millions de dollars, soulignant que la dépendance du marché MAMO, caractérisé par une faible liquidité, à son propre prix était le principal point faible. La structure de ces deux incidents rappelle celle de l'incident de Mango Markets en octobre 2022. Avraham Eisenberg a créé une position liée au token MNGO, puis a agressivement acheté sur un marché peu fréquenté, faisant grimper le prix du MNGO de plus de 13 fois en à peine 30 minutes. Il a ensuite utilisé cette garantie pour retirer plus de 110 millions de dollars en actifs numériques de Mango Markets. La Commodity Futures Trading Commission (CFTC) a qualifié cela de "plan frauduleux et trompeur", soulignant qu'il s'agissait du premier cas réglementaire concernant la manipulation d'oracle sur une plateforme d'actifs numériques décentralisée. La Securities and Exchange Commission (SEC) a également intenté une action en justice, affirmant qu'Eisenberg avait artificiellement gonflé le prix du MNGO pour retirer environ 116 millions de dollars. Plus de trois ans après cette action en justice, les incidents de Tectonic et Moonwell montrent que la même méthode d'attaque économique est toujours efficace.