北京时间2022年10月11日6:19，CertiKSkynet天网监测到Mangomarket遭到黑客攻击，截至目前已损失1.16亿美元。攻击者操纵MNGO代币的价格，并恶意借贷超出应有数额的资产。
攻击步骤
①在此交易中，攻击者向第一个帐户提供了500万枚USDC。
CertiK：假冒的X.AI代币项目大量流动性已被移除:金色财经报道，据CertiK官方推特发布消息称，假冒的X.AI代币项目大量流动性已被移除。部署者通过移除流动性获取约1.2万美元。请勿将X.AI与其他同名项目混淆。[2023/8/7 21:29:22]
②攻击者在订单簿中提供了4.83亿单位的MNGOperps。
CertiK完成对蚂蚁集团可信执行环境HyperEnclave的先进形式化验证:金色财经报道，CertiK宣布完成对蚂蚁集团开放式跨平台可信执行环境（TEE）HyperEnclave的先进形式化验证。蚂蚁集团的可信原生技术团队开发了开放跨平台软件可信执行环境HyperEnclave，旨在提高蚂蚁集团隐私保护计算工作负载的效率和兼容性。CertiK通过其独有的先进形式化验证技术，验证了HyperEnclave核心组件的安全性和技术正确性。[2023/7/26 15:59:27]
③之后攻击者向第二个账户注资。
Arbitrum：Sequencer漏洞导致昨日停机，已定位问题并修复:9月15日消息，以太坊扩容网络Arbitrum One发布针对昨日网络故障的报告。从美东时间9月14日10:14开始，Arbitrum One停机持续45分钟，期间Arbitrum Sequencer（定序器）处于离线状态，资金从未面临风险。停机的根本原因是一个Bug，导致Sequencer在短时间内收到大量交易时卡住，Arbitrum团队已经定位到该问题并已部署修复程序。团队还表示，就算Sequencer故障，也不会影响该网络的持续运行，用户可以绕开Sequencer，将交易直接提交到以太坊。[2021/9/15 23:25:44]
④然后以每单位0.0382美元的价格做多了4.83亿单位的MNGOperps。
⑤攻击者通过操纵价格预言机上MNGO的价格，将其拉高到0.91美元，从而在第二个账户上获利。
⑥由于MNGO/美元的价格为每单位0.91美元，第二个账户能够在Mangomarket上借用其他代币。攻击者还用第二个账户中的资金在Mangomarket上借入其他代币。
⑦上述借款行为使第一个帐户的坏账总额为11,306,771.61美元，造成了115,182,674.43美元的资产损失。
除此之外，攻击者已提交将代币发回的建议：
https://dao.mango.markets/dao/MNGO/proposal/3WZ5DpZXDvNAK4JwPS1HDPzSinEJUGpBC4XXx9vPtnVS
漏洞分析
攻击者操纵了价格预言机中Mango代币的价格。
例如其中一个价格预言机Switchboard使用的是FTX和Raydium提供的价格。Raydium(https://solscan.io/account/34tFULR...)的流动性极低，易于操作。
写在最后
攻击发生后，CertiK的推特预警账号以及官方预警系统已于第一时间发布了消息。同时，CertiK也会在未来持续于官方公众号发布与项目预警相关的信息。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。