Bảng tỷ giá 
Bạn đang ở:
116 
Một kẻ tấn công đã lợi dụng tính thanh khoản thấp để đánh cắp hơn 116 triệu đô la từ Mango Markets.
Có vẻ như các tin tặc đã sử dụng một chiến thuật thao túng giá oracle trong việc khai thác trên mạng DeFi dựa trên Solana, như được chỉ ra bởi một tweet được gửi bởi tài khoản chính thức cho nền tảng giao dịch tiền điện tử Mango.
Vào giữa tháng 10, các nhà đầu tư đã lợi dụng lỗ hổng trong nền tảng giao dịch tài chính phi tập trung (DeFi) Mango Markets và đánh cắp số tiền điện tử trị giá hơn 110 triệu đô la khỏi mạng.
We are currently investigating an incident where a hacker was able to drain funds from Mango via an oracle price manipulation.
— Mango (@mangomarkets) October 11, 2022
We are taking steps to have third parties freeze funds in flight. 1/
Một chủ đề khác trên Twitter đã cung cấp phân tích chi tiết về cách sự cố diễn ra. Kẻ tấn công bắt đầu nhiệm vụ của mình bằng cách tài trợ cho một tài khoản trên trang web bằng USD Coin (USDC) với số tiền 5 triệu USD, được sử dụng để mua 483 hợp đồng vĩnh viễn giữ bằng Token Mango (MNGO), nền tảng tiền điện tử gốc.
Kẻ tấn công đã sử dụng kỹ thuật này để tăng giá MNGO từ 0,03 đô la lên 0,91 đô la, làm tăng giá trị giữ MNGO của họ lên 423 triệu đô la.
Các khoản tiền sau đó được sử dụng để mua một khoản vay 116 triệu đô la bằng cách sử dụng một số Token trên nền tảng, chẳng hạn như Bitcoin (BTC), Solana (SOL) và Serum (SRM). Thật không may, khoản vay đã loại bỏ tất cả tính thanh khoản trong Thị trường Mango, dẫn đến giá MNGO giảm mạnh xuống còn 0,02 đô la.
Nhóm phát triển của Mango Markets sau đó cho biết rằng họ đang xem xét những gì đã xảy ra và đã bắt đầu một cuộc điều tra về nó. Giao thức đã cung cấp tin tức cho người dùng qua các phương tiện truyền thông xã hội khác nhau của nó, cho biết rằng nó đã tạm thời ngừng gửi tiền trong khi tiến hành thêm nghiên cứu. Ngoài ra, nhóm đã thông báo cho người dùng rằng họ nên hạn chế gửi tiền mặt vào trang web trước khi họ vô hiệu hóa khả năng làm như vậy.
Chợ Mango được khai thác như thế nào
Kẻ tấn công đã có thể thao túng giá Token MNGO, khiến nó tăng gấp 30 lần trong một khoảng thời gian ngắn như vậy, bằng cách lấy đi những hợp đồng vĩnh viễn khổng lồ. Kẻ tấn công có thể giải quyết vấn đề này bằng cách tận dụng tính thanh khoản hạn chế của thị trường để tăng giá token một cách giả tạo bằng cách thực hiện các lệnh mua lớn để đẩy giá và sau đó sử dụng các nhà đầu tư mới làm thoát thanh khoản để rút tiền. Đây là chiến lược tương tự được sử dụng trong các trò gian lận pump-and-bán tháo.
Gần đây: 'DeFi sẽ thay thế hoàn toàn các tổ chức,' Giám đốc điều hành BitGo Mike Belshe cho biết
Tuy nhiên, kiểu khai thác này rất khó thực hiện khi có lượng thanh khoản rất lớn vì lượng tiền mặt cần thiết để thao túng giá sẽ cao hơn nhiều. Vì các Token mới hoặc tương đối chưa được biết đến thường có tính thanh khoản cực kỳ ít, nên các kế hoạch pump-and-bán tháo phổ biến hơn với các Token như vậy.
Thị trường Mango có thể tự bảo vệ mình khỏi sự khai thác này nếu nó có đủ thanh khoản. Việc sử dụng công cụ tạo thị trường tự động (AMM) là một chiến lược mà Mango Markets có thể đã sử dụng để định giá mức độ thanh khoản của nó. Các nhà tạo lập thị trường tự động là các chương trình máy tính quyết định giá của Token bằng cách thu thập tính thanh khoản từ người dùng và sử dụng các công thức toán học khác nhau.
Ben Roth, đồng sáng lập và giám đốc thông tin của Auros - một công ty tạo lập thị trường thuật toán - nói với Cointelegraph:
Hành vi giao dịch bất lợi là sản phẩm phụ của các điều kiện thị trường kém thanh khoản. Do đó, khi các 'tác nhân xấu' có thể tạo ra một vectơ tấn công có mức độ chắc chắn cao do tính thanh khoản thấp, động cơ để thực hiện các loại 'khai thác' này sẽ tăng lên.
Khi làm việc với một nhà tạo lập thị trường theo thuật toán, các nhà phát hành Token đồng thời không xác định hành vi bất lợi này trong khi xây dựng niềm tin vào tính nhất quán của tính thanh khoản trong nhiều điều kiện thị trường, ông nói thêm.
Các nhà cung cấp Token lớn, còn được gọi là nhà cung cấp thanh khoản (LP), chịu trách nhiệm về hoạt động của AMM. LP chịu trách nhiệm đưa số lượng cặp Token bằng nhau (chẳng hạn như MNGO / USDC) vào Pool. Điều này giúp cho nền tảng giao dịch phi tập trung có thể thuê ngoài thanh khoản của họ trong khi vẫn cung cấp các LP được đền bù dưới dạng một phần phí giao dịch thu được trên nền tảng.
Sau khi khai thác
Một ngày sau khi khai thác trên Mango Markets, thủ phạm đã đưa ra đề xuất thông qua tổ chức tự trị phi tập trung (DAO) là một phần của nền tảng. Kẻ tấn công đề nghị Mango DAO thanh toán mọi khoản nợ chưa thanh toán bằng kho bạc 70 triệu đô la thay vì sử dụng tiền của kẻ tấn công.
Thỏa thuận nói rằng đội Mango DAO nên sử dụng tiền từ kho bạc của họ để bù đắp cho bất kỳ nghĩa vụ tài chính nào còn thiếu. Sau đó, tội phạm mạng sẽ gửi các Token bị đánh cắp đến một địa chỉ do nhóm chịu trách nhiệm về Mango DAO cung cấp.
Bằng cách bỏ phiếu với hàng triệu Token được lấy trong quá trình khai thác, tin tặc dường như ủng hộ ý tưởng này, một kiểu thao túng khác. Ngoài ra, thủ phạm của vụ việc yêu cầu không được mở thủ tục hình sự chống lại họ nếu đơn yêu cầu được chấp thuận.
Cuối cùng, cộng đồng Mango Markets đã đồng ý để kẻ tấn công giữ một phần lớn Token như một phần thưởng lỗi. Các điều khoản là một phần của thỏa thuận sẽ trả lại số token bị đánh cắp trị giá 67 triệu đô la, với việc kẻ tấn công giữ 47 triệu đô la còn lại trong số 117 triệu đô la đã lấy.
Thỏa thuận đã đạt được thông qua một cuộc bỏ phiếu trong Mango DAO, với 98% cử tri (hoặc 291 triệu Token) bỏ phiếu ủng hộ. Đề xuất bao gồm Mango Markets không theo đuổi các cáo buộc pháp lý đối với tin tặc.
Kẻ tấn công tiết lộ danh tính của họ
Kẻ tấn công đứng sau vụ khai thác sau đó đã tiết lộ danh tính của họ. Avraham Eisenberg đã thông báo trên Twitter rằng anh ấy đã tham gia vào một nhóm vận hành chiến lược giao dịch có lợi nhuận cao vào tuần trước, tức là những người chịu trách nhiệm cho cuộc tấn công 100 triệu đô la gây ra trên Mango Markets.
Eisenberg tiếp tục nói, tôi tin rằng tất cả các hành động của chúng tôi đều là hành động thị trường mở hợp pháp, sử dụng giao thức như đã thiết kế, ngay cả khi nhóm phát triển không lường trước đầy đủ tất cả hậu quả của việc thiết lập các thông số theo cách của chúng.
Ông chỉ ra rằng do hậu quả của việc khai thác, Mango Markets bị phá sản, và ông cũng nói rằng số tiền bảo hiểm không đủ để thanh toán tất cả các khoản bán tháo đã xảy ra. Vì điều này, hơn một trăm triệu đô la tiền mặt của người dùng đã bị mất.
Tuy nhiên, Eisenberg tuyên bố rằng anh ấy đã giúp thương lượng một thỏa thuận dàn xếp với quỹ bảo hiểm, để làm cho tất cả người dùng trở lại toàn bộ trong khi tái cấp vốn cho nền tảng giao dịch. Eisenberg kết thúc chuỗi Twitter của mình bằng cách nói: Do thỏa thuận này, khi nhóm Mango xử lý xong, tất cả người dùng sẽ có thể truy cập đầy đủ tiền gửi của họ mà không bị mất tiền.
Eisenberg tiếp tục tuyên bố rằng hành động của mình là hợp pháp, tương tự như việc tự động xóa nợ trên nền tảng giao dịch tiền điện tử. Tự động xóa nợ là một quá trình trong đó nền tảng giao dịch sử dụng một phần lợi nhuận thu được từ các nhà đầu tư thành công để bù đắp các khoản lỗ do các nhà đầu tư khác đã bị bán tháo.
Tuy nhiên, Michael Bacina, đối tác của công ty luật Piper Alderman của Úc, trước đây đã nói với Cointelegraph rằng: Nếu điều này xảy ra trong một thị trường tài chính được quản lý, nó có thể bị coi là thao túng thị trường.
Gần đây: Sự cố internet có thực sự làm gián đoạn các mạng tiền điện tử không?
Trong khi về mặt lý thuyết, người dùng vẫn có thể theo đuổi hành động pháp lý chống lại Eisenberg, Bacina cho biết nó không khả thi về mặt thương mại, nói rõ:
Giả sử các khiếu nại vẫn tồn tại trong đề xuất, mọi khiếu nại vẫn cần được giảm bớt bằng bất kỳ số tiền nào mà một thành viên đã nhận được do kết quả của đề xuất, điều này có thể có nghĩa là nhiều thành viên có động cơ thương mại hạn chế để kiện ông Eisenberg.
Tiếp tục, sẽ rất thú vị khi xem cách các giao thức DeFi có thể bảo mật tốt hơn các giao thức của họ, với AMM để ngăn chặn các loại khai thác này ngay từ đầu hoặc thông qua các hành động pháp lý sau đó.
Theo CoinTelegraph
|
|
Tags: Công nghệ, Token, Giao dịch, Tin tặc,
