Lodestar Finance khai thác trong cuộc tấn công cho vay bất ngờ

https://biz.crast.net/lodestar-finance-exploited-in-sudden-loan-onslaught/

Giao thức cho vay dựa trên Arbitrum Lodestar Finance đã bị khai thác trong một cuộc tấn công cho vay chớp nhoáng vào ngày 10 tháng 12. Theo Lodestar, kẻ tấn công đã thao túng giá của mã thông báo plvGLP trước khi sử dụng mã thông báo bị lạm phát để vay tất cả thanh khoản của nền tảng.

Trong một chủ đề Twitter, LoadstarGiải thích Luồng tấn công Kẻ tấn công đã thao túng tỷ giá hối đoái của hợp đồng plvGLP đầu tiên thành 1,83 GLP trên mỗi plvGLP, “một cách khai thác mà bản thân nó sẽ không sinh lãi”, công ty cho biết.

Sau đó, kẻ tấn công đã cung cấp tài sản thế chấp PLVGLP cho Lodestar và vay tất cả thanh khoản có sẵn “cho đến khi cơ chế Tỷ lệ tài sản thế chấp ngăn cản việc thanh lý toàn bộ PLVGLP”.

Sau vụ hack, “một số chủ sở hữu PLVGLP cũng đã tận dụng cơ hội và đổi 1,83 GLP cho mỗi PLVGLP.” Tin tặc đã có thể đốt hơn 3 triệu GLP một chút, “số tiền bị đánh cắp trên Lodester – trừ đi GLP mà chúng đã đốt.”, nền tảng DeFi lưu ý.

Kẻ tấn công đã kiếm được lợi nhuận khoảng 5,8 triệu đô la. Loadstar cho biết khoảng 2,8 triệu yên (khoảng 2,4 triệu đô la) GLP có thể thu hồi được, số tiền này sẽ được sử dụng để hoàn trả cho người gửi tiền. Công ty đang cố gắng thương lượng tiền thưởng lỗi với kẻ khai thác:

Lỗ hổng chính của cuộc tấn công nằm bên trong GLProacle và cách nó vận hành giá của nó. Trong một phân tích, nhóm kiểm toán của Solidity Finance cho biết vụ việc nhấn mạnh rằng “việc sử dụng các tiên tri chống giả mạo là một phần quan trọng của DeFi, đặc biệt là trong các giao thức mà người dùng cho vay tài sản.”

Trong một tuyên bố, công cụ tổng hợp quản trị PlutusDAO cho biết “các sản phẩm và nền tảng của họ hoạt động chính xác như dự định trong suốt sự kiện. Tất cả tiền trên Plutus đều hoàn toàn an toàn. Việc khai thác hoàn toàn là kết quả của việc triển khai tiên tri của Lodestar.” Cũng nói rằng:

“Chúng tôi muốn chịu trách nhiệm thúc đẩy một giao thức chưa được kiểm tra. Mặc dù việc khai thác hoàn toàn không phải lỗi của Plutus, nhưng chúng tôi nhận ra thực tế là chúng tôi đã quá háo hức quảng bá một giao thức tích hợp plvGLP. Với việc plvGLP đạt được sức hút đáng kể, chúng tôi muốn nêu bật tất cả các tích hợp plvGLP cho cộng đồng của mình để nhấn mạnh việc áp dụng và cơ hội cho cả người dùng cá nhân và giao thức bằng cách tích hợp. Chúng tôi xin lỗi vì điều này.”

Cuộc tấn công Lodestar tương tự như vụ khai thác Mango Markets vào ngày 11 tháng 10, khi kẻ tấn công đánh cắp hơn 100 triệu đô la bằng cách thao túng dữ liệu tiên tri về giá cho phép tin tặc thực hiện các khoản vay tiền điện tử có thế chấp thấp.