Makina потеряла $4,1 млн из‑за эксплоита с манипуляцией ценами

Злоумышленник использовал флэш‑кредиты, чтобы исказить данные о ценах в пуле ликвидности DUSD/USDC на Curve, обслуживаемом протоколом Makina. В результате он вывел более $4 млн, прежде чем часть средств была перехвачена MEV‑ботами.

Ранним утром во вторник протокол децентрализованных финансов Makina, ориентированный на автоматизированное исполнение операций, пострадал от эксплоита на сумму $4,13 млн. Злоумышленники опустошили пул ликвидности DUSD/USDC на Curve. Об этом сообщили компании, занимающиеся безопасностью блокчейна, — PeckShield и CertiK.

По данным PeckShield, атакующий вывел из пула около 1 299 ETH, воспользовавшись уязвимостью ценового оракула, который используют поставщики ликвидности Makina без хранения средств.

Оракул, передающий внешние данные о ценах смарт‑контрактам, был взломан в середине транзакции. Это позволило злоумышленнику вывести средства по искусственно выгодному курсу.

CertiK сообщает, что атака началась с крупного флэш‑кредита — вида необеспеченного займа, который необходимо погасить в рамках одной транзакции. Злоумышленник взял в долг около 280 млн USDC и использовал примерно 170 млн из них, чтобы вмешаться в работу MachineShareOracle от Makina. Этот оракул передает данные о ценах долей в пул Curve.

Кратковременно влив капитал, злоумышленник смог исказить цены, которые сообщал оракул. Как только пул начал доверять завышенным значениям, атакующий обменял около 110 млн USDC на средства из пула, в котором было всего около $5 млн ликвидности. В итоге пул был почти полностью опустошен.

Makina запустилась в феврале прошлого года и позиционирует себя как механизм исполнения DeFi‑операций институционального уровня. По данным DeFiLlama, общая заблокированная стоимость активов в протоколе составляет около $100 млн. Команда Makina заявила, что эксплоит затронул только пул DUSD на Curve и не повлиял на протокол в целом.

В сообщении на платформе X команда Makina призвала поставщиков ликвидности вывести средства из затронутого пула на время расследования. Дальнейшие обновления будут опубликованы позже.