Dois protocolos de empréstimo DeFi sofreram perdas de 84 bilhões de won devido a ataques de manipulação de preços

As plataformas de empréstimo descentralizadas (DeFi) Tectonic e Moonwell foram vítimas de ataques de manipulação de preços em dois dias consecutivos, resultando em perdas combinadas superiores a 84 milhões de dólares. Em ambos os casos, os ataques envolveram a manipulação artificial do preço de tokens com baixa liquidez para inflar seu valor como garantia, seguido pela retirada de ativos de pools de liquidez mais profundos. Essa tática é essencialmente a mesma que as autoridades regulatórias dos Estados Unidos já alertaram, conhecida como manipulação de oráculos. Um evento de grande impacto ocorreu na blockchain Cronos, resultando em perdas significativas. De acordo com a empresa de segurança GoPlus, um atacante manipulou o preço do token TONIC, repetidamente depositando e retirando o token como garantia, que tinha um volume de transações relativamente baixo. Em poucos minutos, o preço do TONIC subiu drasticamente. A plataforma Tectonic havia definido um fator de garantia de aproximadamente 20% para o TONIC, e à medida que o preço aumentava, o valor da garantia reconhecida pelo atacante atingiu, em última análise, cerca de 37,5 milhões de dólares. Com base nisso, o atacante retirou ativos líquidos, no valor de aproximadamente 7,5 milhões de dólares, incluindo USDT. Parte desses ativos, no valor de cerca de 6 milhões de dólares, foram transferidos para a rede Ethereum e trocados por aproximadamente 2.600 ETH. A Cronos interrompeu completamente a produção de blocos para impedir novas movimentações de ativos. Até segunda-feira, a rede Cronos ainda estava inativa, e a Tectonic ainda não divulgou oficialmente o tamanho total dos prejuízos. Em 27 de agosto, três dias antes, o mercado MAMO da Moonwell, operado na rede Base, foi alvo de um ataque. O atacante injetou aproximadamente 1,95 milhão de dólares em USDC para acumular mais de 94 milhões de tokens MAMO. Posteriormente, 53 milhões de tokens MAMO foram transferidos diretamente para o contrato de garantia mMAMO da Moonwell, aumentando em aproximadamente 3,7 vezes a quantidade de ativos subjacentes representados por cada participação existente, sem emitir novas participações. Ao mesmo tempo, o preço de mercado do MAMO subiu drasticamente, de cerca de 0,0106 dólares para 0,4313 dólares. Essas duas mudanças resultaram em um aumento significativo no valor de garantia aceito, permitindo que o atacante obtivesse empréstimos de aproximadamente 11 milhões de dólares em 18 transações, incluindo cbBTC, WETH, USDC e wstETH, e os retirasse. A liquidação começou 32 segundos após a última transação de empréstimo, mas restaram aproximadamente 9,1 milhões de dólares em dívidas não pagas. A empresa de segurança SlowMist estimou as perdas em cerca de 8,7 milhões de dólares, destacando que a principal vulnerabilidade foi a dependência do preço do mercado MAMO, que possui baixa liquidez. Os dois casos têm como base estrutural o incidente da Mango Markets ocorrido em outubro de 2022. Avraham Eisenberg criou posições vinculadas ao token MNGO e, em um mercado com baixo volume de negociação, realizou compras agressivas, elevando o preço do MNGO em mais de 13 vezes em cerca de 30 minutos. Utilizando isso como garantia, ele retirou mais de 110 milhões de dólares em ativos digitais da Mango Markets. A Comissão de Negociação de Futuros de Commodities (CFTC) classificou isso como um "plano manipulador e enganoso", sendo o primeiro caso regulatório a abordar a manipulação de oráculos em plataformas de ativos digitais descentralizadas. A Comissão de Valores Mobiliários (SEC) também entrou com uma ação judicial separada, alegando que Eisenberg elevou artificialmente o preço do MNGO para retirar cerca de 116 milhões de dólares. Mesmo após mais de três anos desde a implementação dessas medidas, os casos da Tectonic e da Munwell demonstram que as mesmas táticas de ataque econômico ainda são eficazes.