CER:CertiK首發：Mango market遭受攻擊 損失1.16億美元_MNGO

北京時間2022年10月11日6:19，CertiKSkynet天網監測到Mangomarket遭到黑客攻擊，截至目前已損失1.16億美元。攻擊者操縱MNGO代幣的價格，并惡意借貸超出應有數額的資產。

攻擊步驟

①在此交易中，攻擊者向第一個帳戶提供了500萬枚USDC。

數據：zkSyncEra網絡上共發行超820萬個NFT:金色財經報道，NFTScan數據顯示，截至8月2日，zkSyncEra網絡上共發行8,219,555個NFT，創建了39,805個NFT集合，產生了11,187,598筆鏈上交易，持有NFT資產的錢包地址為1,687,406個。[2023/8/2 16:14:27]

②攻擊者在訂單簿中提供了4.83億單位的MNGOperps。

Larry Cermak：Celsius可能尚有15億美元資產:6月14日消息，The Block研究副總裁Larry Cermak昨日發推稱：“為了透明度起見，我將公布我的數據庫，這里面有所有我認為屬于Celsius的錢包。目前，Celsius仍有大約15億美元資產。需要言明的是，鏈上標簽不是一門精確的科學。我可能會犯一些錯誤。這個列表可能不完整，我在追蹤它們的這些年里可能給其中一些貼上了錯誤的標簽。”[2022/6/14 4:25:23]

美國網上超市CoinGrocer支持數字貨幣支付:據btcmanager消息，近日，一家名為CoinGrocer的網上超市上線，并將支持BTC、BCH、ETH、LTC、XMR等數字貨幣支付。據悉，該商店目前只面向美國的48個州開放。[2018/6/4]

③之后攻擊者向第二個賬戶注資。

④然后以每單位0.0382美元的價格做多了4.83億單位的MNGOperps。

⑤?攻擊者通過操縱價格預言機上MNGO的價格，將其拉高到0.91美元，從而在第二個賬戶上獲利。

⑥由于MNGO/美元的價格為每單位0.91美元，第二個賬戶能夠在Mangomarket上借用其他代幣。攻擊者還用第二個賬戶中的資金在Mangomarket上借入其他代幣。?

⑦上述借款行為使第一個帳戶的壞賬總額為11,306,771.61美元，造成了115,182,674.43美元的資產損失。

除此之外，攻擊者已提交將代幣發回的建議：

https://dao.mango.markets/dao/MNGO/proposal/3WZ5DpZXDvNAK4JwPS1HDPzSinEJUGpBC4XXx9vPtnVS

漏洞分析

攻擊者操縱了價格預言機中Mango代幣的價格。

例如其中一個價格預言機Switchboard使用的是FTX和Raydium提供的價格。Raydium(https://solscan.io/account/34tFULR...)的流動性極低，易于操作。

寫在最后

攻擊發生后，CertiK的推特預警賬號以及官方預警系統已于第一時間發布了消息。同時，CertiK也會在未來持續于官方公眾號發布與項目預警相關的信息。

Tags：CERMNGOMANMNGCrypto Against CancerMNGO價格PMANHMNG價格

AVAX