Lodestar Finance, 갑작스러운 대출 공격에 악용

https://biz.crast.net/lodestar-finance-exploited-in-sudden-loan-onslaught/

Arbitrum 기반 대출 프로토콜 Lodestar Finance는 12월 10일 플래시 대출 공격에 악용되었습니다. Lodestar에 따르면 공격자는 부풀려진 토큰을 사용하여 플랫폼의 모든 유동성을 빌리기 전에 plvGLP 토큰의 가격을 조작했습니다.

Twitter 스레드에서 Loadstar설명 공격의 흐름 공격자는 첫 번째 plvGLP 계약의 환율을 plvGLP당 1.83GLP로 조작했으며, 이는 "자체적으로 이익이 되지 않는 익스플로잇"이라고 회사는 말했습니다.

그런 다음 공격자는 Lodestar에 PLVGLP 담보를 제공하고 "담보 비율 메커니즘이 PLVGLP의 완전한 청산을 막을 때까지" 사용 가능한 모든 유동성을 빌렸습니다.

해킹 후 "여러 PLVGLP 보유자도 기회를 이용하여 PLVGLP당 1.83 GLP를 상환했습니다." 해커는 "Lodester에서 훔친 자금 – 그들이 태운 GLP를 뺀 금액"인 GLP에서 300만 조금 넘는 금액을 소각할 수 있었습니다.

공격자는 약 580만 달러의 이익을 챙겼습니다. Loadstar는 약 280만 달러(약 240만 달러)의 GLP가 회수 가능했으며 이는 예금자 상환에 사용되어야 한다고 말합니다. 회사는 악용자와 버그 포상금을 협상하려고 합니다.

공격의 주요 취약점은 GLPoracle 내부와 가격 책정 방식에 있습니다. 분석에서 Solidity Finance 감사 팀은 이 사건이 "변조 방지 오라클의 사용이 특히 사용자가 자산을 빌려주는 프로토콜에서 DeFi의 중요한 부분"임을 강조한다고 말했습니다.

거버넌스 애그리게이터 PlutusDAO는 성명에서 자사의 제품과 플랫폼이 이벤트 내내 의도한 대로 정확하게 작동했다고 말했습니다. Plutus의 모든 자금은 완전히 안전했습니다. 익스플로잇은 전적으로 Lodestar의 오라클 구현의 결과였습니다.” 또한 말했다 :

“우리는 감사되지 않은 프로토콜을 홍보하는 데 책임을 지고 싶습니다. 익스플로잇이 Plutus의 잘못은 결코 아니지만, 우리는 plvGLP를 통합하는 프로토콜을 홍보하는 데 너무 열심이었다는 사실을 알고 있습니다. plvGLP가 상당한 관심을 끌면서 우리는 커뮤니티에 대한 모든 plvGLP 통합을 강조하여 개별 사용자와 통합에 의한 프로토콜 모두에 대한 채택과 기회를 강조하고 싶었습니다. 이에 대해 사과드립니다.”

Lodestar 공격은 10월 11일 공격자가 가격 오라클 데이터를 조작하여 해커가 낮은 담보 암호화폐 대출을 받을 수 있도록 하여 1억 달러 이상을 훔친 Mango Markets 익스플로잇과 유사했습니다.