Paano Nauwi ang Pagmamanipula sa Market sa $100M na Exploit sa Solana DeFi Exchange Mango

Isang buhong Crypto trader ang gumamit ng milyun-milyong dolyar upang manipulahin ang mga presyo ng mga token ng MNGO ng Mango sa namesake decentralized exchange (DEX) hanggang sa kalaunan maubos ang mahigit $116 milyon sa liquidity mula sa plataporma.

Ang exchange ay nagpapahintulot sa mga user na mag-trade ng spot at perpetual futures gamit ang on-chain trading interface nito sa mababang bayad. Mga $30 milyon na halaga ng Crypto ang na-trade sa exchange sa nakalipas na 24 na oras, bilang bawat data ng CoinGecko.

Nag-ugat ang hakbang sa gitna ng patuloy na drama na nakapalibot sa masamang utang sa loob ng Solana DeFi ecosystem na kinasasangkutan ng lending application na Solend at Mango.

Bilang naiulat kanina kaninang umaga, nagsama sina Mango at Solend sa mas maagang bahagi ng taong ito upang magsama-sama ng mga pondo para mag-bailout ng malaking Solana whale na mayroong $207 milyon na utang na kumalat sa maraming platform ng pagpapautang – sa isang hakbang na dapat ay i-backstop ang mga potensyal na pagkalugi sa buong Solana ecosystem kung ang posisyon ng balyena ay likidahin.

Paano naganap ang pagsasamantala

Ang Mango na nakabase sa Solana, tulad ng iba pang mga DEX, ay umaasa sa mga matalinong kontrata upang tumugma sa mga trade sa pagitan ng mga user ng decentralized Finance (DeFi). Ito ay susi sa pag-unawa kung paano naganap ang pagsasamantala: Ang mga matalinong kontrata ay ganap na desentralisado at hindi pinangangasiwaan ng isang sentralisadong partido - na nangangahulugang ang isang buhong na mangangalakal ay maaaring mag-deploy ng sapat na pera upang pagsamantalahan ang mga butas sa anumang protocol nang walang panganib na sinuman ang pumasok upang ihinto ang pag-atake bago ito maganap.

Dalawang account ang ginamit para isagawa ang pag-atake. Sa account na "A," ang mangangalakal noong una ay gumamit ng 5 milyong USD Coin (USDC) upang bumili ng 483 milyong MNGO at magkukulang, o tumaya laban, sa asset. Pagkatapos, sa account na "B," ang negosyante ay gumamit ng isa pang 5 milyong USDC upang bumili ng parehong halaga ng MNGO, gamit ang 10 milyong USDC sa kabuuan upang epektibong i-hedge ang kanyang posisyon, ang data sa Mango na itinuro ng pinuno ng Genesis ng derivatives na si Joshua Lim mga palabas.

Pagkatapos ay gumamit ang mangangalakal ng mas maraming pondo upang bumili ng mga spot na token ng MNGO, na kumukuha ng presyo nito mula sa 2 cents lamang hanggang sa 91 cents sa loob ng sampung minutong tagal. Ito ay naging posible dahil ang spot MNGO ay isang thinly-traded token na may mababang liquidity, na nagbigay-daan sa rogue trader na mabilis na manipulahin ang mga presyo.

Habang tumaas ang mga presyo ng spot MNGO, ang account ng trader na "B" ay mabilis na nakakuha ng humigit-kumulang $420 milyon sa hindi natanto na kita. Pagkatapos ay kinuha ng attacker ang higit sa $116 milyon sa liquidity mula sa lahat ng token na available sa Mango, na epektibong nabura ang protocol.

Ang mga presyo ng Spot MNGO sa lalong madaling panahon ay naitama pabalik sa 2 cents, na nahulog sa ilalim ng mga presyo na unang ginamit ng mangangalakal sa pagbili ng mga futures ng MNGO sa account na "A." Ang account na iyon ay nasa mahigit $6 milyon na kita sa oras ng pagsulat – ngunit walang natitira sa platform upang bayaran ang negosyante.

Sa kabuuan, gumamit ang rogue trader ng mahigit 10 milyong USDC para kumuha ng mahigit $116 milyon mula sa Mango, nagbabayad ng kaunting bayad para sa pagsasagawa ng pag-atake at ginagawa ang lahat sa loob ng mga parameter kung paano idinisenyo ang platform. Ang Mango ay T na-hack, ito ay gumana nang eksakto tulad ng nilalayon, at isang matalinong mangangalakal, kahit na may karumal-dumal na intensyon, ay nagawang pigain ang token liquidity.

Mahalagang tandaan na ang manipulative na diskarte sa itaas ay T gagana sa dalawang sentralisadong palitan, dahil ang isang mangangalakal na naglalagay ng matataas na bid sa ONE venue ay nangangahulugan na ang mga presyo ay awtomatikong lilipat ng mas mataas sa exchange na iyon at ang iba pang mga palitan ay agad na magtataas ng presyo ng mga asset sa kanilang sariling mga system – ibig sabihin, ang diskarte ay malamang na hindi kumita ng anumang kita.

Samantala, sinabi ng mga developer ng Mango noong Miyerkules na na-update ng Switchboard at PYTH pricing oracle ang benchmark na presyo ng MNGO sa itaas ng $0.15, alinsunod sa pagtaas ng presyo sa FTX at Ascendex. Ang Oracles ay mga third-party na tool na kumukuha ng data mula sa labas ng blockchain hanggang sa loob nito.

"Walang alinman sa mga provider ng oracle ang may kasalanan dito. Ang pag-uulat ng presyo ng oracle ay gumana tulad ng nararapat," Mango nagsulat sa Twitter.

"Ang nang-aatake ay nagbomba at nagtatapon ng mango token, na isang manipis na ipinagpalit na token," isinulat ni Kanav Kariya, presidente sa Jump Crypto, isang Crypto fund na lubos na sumuporta sa PYTH, sa isang tweet.

"Iniulat lang ng Oracles ang presyo. Tumpak na iniulat ng PYTH/Switchboard ang mga umiiral na presyo sa mga palitan," dagdag ni Kariya. Bumaba ng 40% ang MNGO sa nakalipas na 24 na oras.

PAGWAWASTO (Okt. 12, 2022 14:14 UTC): Binabago ang talata tungkol sa mga orakulo sa pagpepresyo. Nagdagdag ng tweet mula sa Mango na nagsasabing ang mga orakulo sa pagpepresyo ay gumana ayon sa nararapat.