Взлом DeFi-протокола FlamingoFinance: подробности атаки на $346 000

Децентрализованный финансовый протокол FlamingoFinance лишился $346 000 в результате уязвимости в смарт-контрактах. Очередной взлом DeFi произошел из-за манипуляции ценами токенов в устаревших модулях Flamincome, о чем сообщили аналитики компании Blockaid.

Механика атаки: использование мгновенного займа на $18 млн

Злоумышленник задействовал мгновенный кредит (flash loan) в стейблкоинах USDT на сумму $18 млн. Это позволило искусственно увеличить объем сделки и задействовать уязвимость ценообразования.

Заемные средства были направлены на взаимодействие с токенами поставщика ликвидности USDP, которые находились в стратегическом контракте. В результате атаки цена токенов VaultYUSDT оказалась искусственно завышена, что дало хакеру возможность обменять ликвидные aUSDT по крайне выгодному для себя курсу.

Связь с Tornado Cash и вывод средств

Эксперты по безопасности пока не раскрыли точные технические детали уязвимости ценообразования, отметив лишь, что затронутые контракты относились к ранней версии платформы.

В ходе расследования специалисты Blockaid идентифицировали несколько блокчейн-адресов, связанных с эксплойтом:

До совершения атаки хакер получил 0,1 ETH через криптомиксер Tornado Cash для оплаты комиссий.
После реализации эксплойта на одном из адресов остался небольшой баланс в ETH.
В дальнейшем злоумышленник перевел 144,15 ETH и задействовал кроссчейн-протокол LI.FI.

Заявление Blockaid: «Наша система обнаружения зафиксировала эксплойт в старых контрактах Flamincome от FlamingoFinance. Нападавший взял мгновенный заем ~$18 млн USDT, раздул цену доли VaultYUSDT и вывел ликвидный aUSDT. Прибыль атаковавшего составила около $345,9 тыс. USDT».

Волна эксплойтов в DeFi-секторе

Инцидент с FlamingoFinance продолжил серию сентябрьских атак на децентрализованные сервисы:

Chainflip: Неизвестные вывели 736 442 USDT в результате атаки на систему переводов в сети Tron.
Zentra Finance: Команда зафиксировала уязвимость в резерве ctUSD на сумму $143 000.
Symbiosis: Злоумышленники использовали уязвимость смарт-контракта BridgeV2 и обменяли 4,39 WBTC ($336 000), однако разработчики смогли своевременно изолировать около 15 BTC.