Hai giao thức cho vay DeFi bị tấn công, gây thiệt hại 840 tỷ đồng do thao túng giá

Nền tảng cho vay phi tập trung (DeFi) Tectonic và Moonwell đã liên tiếp bị tấn công, dẫn đến tổng thiệt hại hơn 84 triệu đô la chỉ trong vòng bốn ngày. Cả hai vụ việc đều sử dụng phương thức tương tự: thao túng giá của các token có tính thanh khoản thấp bằng cách đẩy giá lên một cách giả tạo, sau đó lợi dụng giá trị đảm bảo tăng cao để rút tài sản từ các pool thanh khoản sâu hơn. Đây chính xác là thủ đoạn thao túng oracle mà các cơ quan quản lý Hoa Kỳ đã cảnh báo. Vụ việc tại Tectonic, hoạt động trên blockchain Cronos, gây ra thiệt hại lớn hơn. Theo công ty bảo mật GoPlus, kẻ tấn công đã lặp đi lặp lại việc gửi và rút token TONIC, vốn có khối lượng giao dịch thấp, để đẩy giá TONIC lên rất nhanh chóng trong vòng vài phút. Tectonic đã áp dụng hệ số đảm bảo khoảng 20% cho TONIC, và khi giá tăng, giá trị đảm bảo mà kẻ tấn công được công nhận đã tăng lên tới khoảng 37,5 triệu đô la. Dựa trên giá trị này, kẻ tấn công đã rút khoảng 7,5 triệu đô la tài sản thanh khoản, bao gồm USDT. Khoảng 6 triệu đô la trong số các tài sản đã rút được đã được chuyển đổi sang Ethereum và đổi thành khoảng 2.600 ETH. Sau đó, Cronos đã tạm dừng hoàn toàn việc tạo khối để ngăn chặn bất kỳ giao dịch tài sản nào khác. Tính đến thứ Hai, mạng Cronos vẫn đang bị tạm dừng, và Tectonic vẫn chưa công bố chính thức mức thiệt hại cuối cùng. Ba ngày trước, vào ngày 27 tháng 8, thị trường MAMO của Moonwell, hoạt động trên blockchain Base, cũng đã bị tấn công. Kẻ tấn công đã đầu tư khoảng 1,95 triệu đô la USDC để mua hơn 94 triệu token MAMO. Sau đó, kẻ tấn công đã chuyển trực tiếp 53 triệu token MAMO vào hợp đồng đảm bảo mMAMO của Moonwell, từ đó tăng số lượng tài sản cơ sở mà mỗi token đại diện lên khoảng 3,7 lần, mà không phát hành thêm token mới. Đồng thời, giá thị trường của MAMO cũng tăng mạnh từ khoảng 0,0106 đô la lên 0,4313 đô la. Sự kết hợp của hai yếu tố này đã làm tăng đáng kể giá trị đảm bảo, và kẻ tấn công đã thực hiện tổng cộng 18 lần vay, thu về khoảng 11 triệu đô la, bao gồm cbBTC, WETH, USDC và wstETH. Chỉ 32 giây sau khi khoản vay cuối cùng được hoàn tất, quá trình thanh lý đã bắt đầu, nhưng vẫn còn lại khoảng 9,1 triệu đô la nợ chưa thanh toán. Công ty bảo mật SlowMist ước tính thiệt hại vào khoảng 8,7 triệu đô la, và chỉ ra rằng điểm yếu chính là sự phụ thuộc vào giá của thị trường MAMO, vốn có tính thanh khoản thấp. Cấu trúc của hai vụ việc này tương tự như vụ tấn công Mango Markets vào tháng 10 năm 2022. Avraham Eisenberg đã xây dựng vị thế liên quan đến token MNGO, sau đó tích cực mua bán trên một thị trường có khối lượng giao dịch thấp, đẩy giá MNGO lên hơn 13 lần chỉ trong vòng 30 phút. Sau đó, kẻ tấn công đã sử dụng giá trị này để rút hơn 110 triệu đô la tài sản kỹ thuật số từ Mango Markets. Ủy ban Giao dịch Hàng hóa Tương lai (CFTC) đã gọi đây là một "kế hoạch thao túng và lừa đảo", và đây là trường hợp đầu tiên các cơ quan quản lý can thiệp vào việc thao túng oracle trên các nền tảng tài sản kỹ thuật số phi tập trung. Ủy ban Chứng khoán và Giao dịch (SEC) cũng đã đệ đơn kiện, cáo buộc Eisenberg đã thao túng giá MNGO để rút khoảng 116 triệu đô la. Mặc dù đã hơn ba năm kể từ vụ việc đó, các vụ tấn công Tectonic và Moonwell cho thấy rằng phương thức tấn công tài chính này vẫn còn hiệu quả.