balance:CertiK首發：Mango market遭受攻擊，損失1.16億美元-ODAILY_CER幣

北京時間2022年10月11日6:19，CertiKSkynet天網監測到Mangomarket遭到黑客攻擊，截至目前已損失1.16億美元。攻擊者操縱MNGO代幣的價格，并惡意借貸超出應有數額的資產。

攻擊步驟

①在此交易中，攻擊者向第一個帳戶提供了500萬枚USDC。

CertiK：假冒的X.AI代幣項目大量流動性已被移除:金色財經報道，據CertiK官方推特發布消息稱，假冒的X.AI代幣項目大量流動性已被移除。部署者通過移除流動性獲取約1.2萬美元。請勿將X.AI與其他同名項目混淆。[2023/8/7 21:29:22]

②攻擊者在訂單簿中提供了4.83億單位的MNGOperps。

Balancer敦促部分LP盡快移除流動性:金色財經報道，Balancer敦促其部分流動性提供者（LP）盡快從五個資金池中提取資金。Balancer表示，為避免即將公開披露的問題，已將部分Balancer池的協議費用已設置為0，目前正常運行。

但因部分流動性池中相關問題無法被解決，Balancer 敦促部分 LP 盡快提取流動性，包括以太坊主網上的 DOLA / bb-a-USD（當前鎖倉額 360 萬美元）、Polygon 上的 bb-am-USD/miMATIC（鎖倉額 9000 美元）、Optimism 上 Beethoven X（由 Balancer 驅動）的It's MAI life（鎖倉額 110 萬美元）和Smells Like Spartan Spirit（鎖倉額9萬美元）以及Fantom上Beethoven X的Tenacious Dollar（鎖倉額160萬美元）。[2023/1/7 10:59:30]

③之后攻擊者向第二個賬戶注資。

Larry Cermak：Terra擺脫困境的唯一辦法是暫時放棄UST，轉向USDT/USDC并發展L1:5月12日消息，The Block研究副總裁Larry Cermak在推特上表示，LUNA低于0.05美元，實際上只是為UST持有者提供退出流動性——壞賬數量無窮無盡。即便如此，它也“只”賣0.05美元。流動性將很快以這樣的速度開始枯竭，Terra實際上無論如何都必須逆轉這一決定。

Cermak稱：“我認為擺脫這一困境的唯一辦法是暫時放棄UST，轉向USDT/USDC，并全力發展L1生態系統。然后，隨著L1的增長，承諾為抵押品提供資金或償還UST壞賬。如果這種情況沒有發生，雙方都可能歸零。[2022/5/12 3:10:34]

④然后以每單位0.0382美元的價格做多了4.83億單位的MNGOperps。

⑤攻擊者通過操縱價格預言機上MNGO的價格，將其拉高到0.91美元，從而在第二個賬戶上獲利。

⑥由于MNGO/美元的價格為每單位0.91美元，第二個賬戶能夠在Mangomarket上借用其他代幣。攻擊者還用第二個賬戶中的資金在Mangomarket上借入其他代幣。

⑦上述借款行為使第一個帳戶的壞賬總額為11,306,771.61美元，造成了115,182,674.43美元的資產損失。

除此之外，攻擊者已提交將代幣發回的建議：

https://dao.mango.markets/dao/MNGO/proposal/3WZ5DpZXDvNAK4JwPS1HDPzSinEJUGpBC4XXx9vPtnVS

漏洞分析

攻擊者操縱了價格預言機中Mango代幣的價格。

例如其中一個價格預言機Switchboard使用的是FTX和Raydium提供的價格。Raydium(https://solscan.io/account/34tFULR...)的流動性極低，易于操作。

寫在最后

攻擊發生后，CertiK的推特預警賬號以及官方預警系統已于第一時間發布了消息。同時，CertiK也會在未來持續于官方公眾號發布與項目預警相關的信息。

Tags：CERUSDbalanceBalancerCER幣泰達幣usdtapp下載DollarBalance BondDisbalancer

BNB