Lodestar Finance が突然のローンの猛攻撃に利用された

https://biz.crast.net/lodestar-finance-exploited-in-sudden-loan-onslaught/

アービトラム ベースの融資プロトコルである Lodestar Finance は、12 月 10 日のフラッシュ ローン攻撃で悪用されました。 Lodestar によると、攻撃者は plvGLP トークンの価格を操作してから、膨張したトークンを使用してプラットフォームのすべての流動性を借りていました。

ツイッターのスレッドで、Loadstar説明した 攻撃の流れ 攻撃者は、最初の plvGLP 契約の為替レートを plvGLP あたり 1.83 GLP に操作しました。

その後、攻撃者は PLVGLP の担保を Lodestar に提供し、「担保比率メカニズムによって PLVGLP の完全な清算が阻止されるまで」利用可能なすべての流動性を借りました。

ハッキングの後、「複数の PLVGLP 所有者もこの機会を利用して、PLVGLP あたり 1.83 GLP を引き換えました。」ハッカーは、GLP で 300 万強を燃やすことができました。これは、「Lodester で盗まれた資金から、彼らが燃やした GLP を差し引いたものです」と、DeFi プラットフォームは述べています。

攻撃者は約 580 万ドルの利益を上げました。 Loadstar によると、約 280 万ポンド (約 240 万ドル) の GLP が回収可能であり、これを預金者への返済に使用する必要があります。同社はバグ報奨金を悪用者と交渉しようとしています。

攻撃の主な脆弱性は、GLPoracle とその価格設定の仕組みにあります。分析の中で、Solidity Financeの監査チームは、この事件は「改ざん防止オラクルの使用は、特にユーザーが資産を貸すプロトコルにおいて、DeFiの重要な部分である」ことを強調していると述べました。

声明の中で、ガバナンス アグリゲータの PlutusDAO は、「その製品とプラットフォームは、イベント全体を通して意図したとおりに機能しました。 Plutus のすべての資金は完全に安全でした。このエクスプロイトは、完全に Lodestar のオラクル実装の結果です。」また言った：

「私たちは、未監査のプロトコルを推進する責任を負いたいと考えています。このエクスプロイトは決して Plutus のせいではありませんが、plvGLP を統合するプロトコルを促進することに熱心すぎたという事実を認識しています。 plvGLP が大きな牽引力を獲得しているため、すべての plvGLP 統合をコミュニティに強調して、統合による個々のユーザーとプロトコルの両方の採用と機会を強調したいと考えました。これについてお詫び申し上げます。」

Lodestar の攻撃は、10 月 11 日の Mango Markets のエクスプロイトに似ていました。攻撃者は、ハッカーが低担保の仮想通貨ローンを利用できる価格オラクル データを操作して 1 億ドル以上を盗みました。