北京时间2022年10月11日6:19，CertiKSkynet天网监测到Mangomarket遭到黑客攻击，截至目前已损失1.16亿美元。攻击者操纵MNGO代币的价格，并恶意借贷超出应有数额的资产。
攻击步骤
①在此交易中，攻击者向第一个帐户提供了500万枚USDC。
CertiK：此前向Worldcoin报告的安全漏洞已得到修复:8月3日消息，区块链安全公司CertiK在社交平台表示，该公司在 5 月 29 日向 Worldcoin 的安全团队报告了一个可能允许攻击者通过绕过验证过程成为 Orb 运营商的安全漏洞。通过这个安全漏洞，恶意攻击者可以绕过Worldcoin运营商接受过程的验证和严格的参与条件。这意味着它不需要是一家公司，也不需要进行适当的身份验证或接受审查面试。
在正常情况下，只有通过 Worldcoin 严格的身份验证过程的合法企业才能运行收集用户虹膜信息的 Orb 操作。Worldcoin 的安全团队确认了这个安全漏洞，并迅速发布了修复。CertiK 已经验证并确认该修复已经缓解了威胁。[2023/8/4 16:17:24]
②攻击者在订单簿中提供了4.83亿单位的MNGOperps。
韩国游戏巨头Wemade与CertiK建立长期合作关系:1月6日消息，韩国游戏巨头Wemade与区块链安全机构CertiK签署了一份谅解备忘录，据谅解备忘录的条款，Wemade和CertiK将建立长期的安全伙伴关系，并发起联合营销活动。CertiK将帮助Wemade提高WEMIX3.0生态系统的安全性和效率。[2023/1/6 10:58:14]
去中心化投资银行平台AllianceBlock与CertiK达成合作:去中心化投资银行平台AllianceBlock宣布与CertiK建立合作伙伴关系，旨在确保AllianceBlock协议始终满足高安全标准。作为合作的一部分，CertiK的专业服务部门（Professional Services Division）将对AllianceBlock网络进行深入审计，并将验证基于该网络的去中心化金融解决方案。[2020/10/29]
③之后攻击者向第二个账户注资。
④然后以每单位0.0382美元的价格做多了4.83亿单位的MNGOperps。
⑤攻击者通过操纵价格预言机上MNGO的价格，将其拉高到0.91美元，从而在第二个账户上获利。
⑥由于MNGO/美元的价格为每单位0.91美元，第二个账户能够在Mangomarket上借用其他代币。攻击者还用第二个账户中的资金在Mangomarket上借入其他代币。
⑦上述借款行为使第一个帐户的坏账总额为11,306,771.61美元，造成了115,182,674.43美元的资产损失。
除此之外，攻击者已提交将代币发回的建议：
https://dao.mango.markets/dao/MNGO/proposal/3WZ5DpZXDvNAK4JwPS1HDPzSinEJUGpBC4XXx9vPtnVS
漏洞分析
攻击者操纵了价格预言机中Mango代币的价格。
例如其中一个价格预言机Switchboard使用的是FTX和Raydium提供的价格。Raydium(https://solscan.io/account/34tFULR...)的流动性极低，易于操作。
写在最后
攻击发生后，CertiK的推特预警账号以及官方预警系统已于第一时间发布了消息。同时，CertiK也会在未来持续于官方公众号发布与项目预警相关的信息。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。