Сообщается, что Mirror Protocol, децентрализованное финансовое приложение на базе старой цепочки блоков Terra, подверглось еще одной уязвимости. Участник управления «Mirroruser» на Terra Research Forum был тем, кто обнаружил ошибку 30 мая.
Эксплойт
Популярный аналитик Terra и разоблачитель FatMan вскоре после этого также подтвердил атаку и сообщил, что, если уязвимость останется без лечения, она поставит под угрозу все ее пулы для токенизированных активов. После нескольких часов задержки разработчики наконец предотвратили кризис.
Все началось с ошибки в оракуле ценообразования для валидаторов Terra Classic, которая активировала эксплойт. Для непосвященных: Mirror Protocol, по сути, позволяет пользователям создавать и торговать зеркальными активами, также известными как mAssets, которые «отражают» или тесно связаны с ценой акций, как следует из названия.
Приложение DeFi имеет собственные версии для биткойнов — mBTC, Ethereum — mETH, Polkadot —mDOT и т. д., которые точно отражают движение цен базовых активов. В дополнение к этим пулам ошибочный оракул позволил злоумышленнику также опустошить пул для токена, представляющего акции Galaxy Digital — mGLXY.
Сохранение
«Основная причина», как объяснил представитель сообщества Chainlink «ChainLinkGod», заключалась в том, что валидаторы старой цепочки блоков Terra (теперь называемой Terra Classic) использовали устаревшую версию программного обеспечения Oracle, которая публиковала ошибочные цены. Валидаторы Terra Classic сообщали цену новой LUNA вместо старой LUNC.
В самый последний момент разработчики исправили проблему с ценовой лентой LUNC. Затем протокол Mirror отключил использование mBTC, mETH, mGLXY и mDOT в качестве залога, что лишило злоумышленника возможности больше использовать средства, полученные нечестным путем, для опустошения остальных пулов.
Хотя некоторые в сообществе предположили, что все это мероприятие было инсайдерской работой, FatMan считает иначе. Его твит относительно того же чтения
«На самом деле это просто выглядит как халатность высшего порядка, но, учитывая то, что произошло в этом месяце, вы ничего не можете с этим поделать. На данном этапе я не вижу причин/доказательств полагать, что это внутренняя работа. По сути, это игра о том, у кого самый быстрый бот».
