โปรโตคอลสเตเบิลคอยน์ Resupply ถูกโจมตีด้วยการบิดเบือนราคาโทเค็น สูญเสีย 9.5 ล้านดอลลาร์
ผู้โจมตีบิดเบือนราคาโทเค็นเพื่อการบิดเบือนอัตราแลกเปลี่ยนและระบายเงินประมาณ 9.5 ล้านดอลลาร์จากโปรโตคอลสเตเบิลคอยน์แบบกระจายอำนาจ Resupply
การโจมตีครั้งนี้ถูกตรวจพบครั้งแรกในวันที่ 25 มิถุนายน โดยแพลตฟอร์มความปลอดภัย BlockSec Phalcon ซึ่งพบธุรกรรมน่าสงสัยที่นำไปสู่การสูญเสีย 9.5 ล้านดอลลาร์ ทีมงาน Resupply ยืนยันเหตุการณ์บน X ในไม่ช้าหลังจากนั้น โดยระบุว่าสัญญาอัจฉริยะที่ได้รับผลกระทบถูกระงับและว่าการโจมตีส่งผลกระทบเฉพาะตลาด wstUSR ของพวกเขาเท่านั้น ทีมงานยังระบุด้วยว่าการวิเคราะห์เหตุการณ์หลังเกิดเหตุกำลังดำเนินการและโปรโตคอลหลักยังคงทำงานได้
Resupply ประสบปัญหาการโจมตีในตลาด wstUSR สัญญาที่ได้รับผลกระทบเคยระบุและระงับ มีเพียงตลาด wstUSR เท่านั้นที่ได้รับผลกระทบและโปรโตคอลยังคงทำงานตามที่ตั้งใจไว้ การวิเคราะห์เหตุการณ์หลังเกิดเหตุอย่างละเอียดจะถูกแบ่งปันทันทีที่มีการวิเคราะห์ครบถ้วน...
— Resupply (@ResupplyFi) 26 มิถุนายน 2025ในขณะที่การวิเคราะห์รายละเอียดยังคงรออยู่ การวิเคราะห์เบื้องต้นจากนักวิจัยด้านความปลอดภัยชี้ให้เห็นถึงกรณีคลาสสิกของการบิดเบือนราคาภายในตลาดที่มีสภาพคล่องต่ำ การโจมตีมุ่งเป้าไปที่ cvcrvUSD ซึ่งเป็นโทเค็น crvUSD ของ Curve DAO (CRV) ที่ถูกสเตคผ่าน Convex Finance
นักวิเคราะห์กล่าวว่าผู้โจมตีบิดเบือนราคาหุ้นของ cvcrvUSD โดยการส่งเงินบริจาคจำนวนเล็กน้อย ซึ่งทำให้มูลค่าของมันสูงขึ้นอย่างเทียม เนื่องจากสูตรอัตราแลกเปลี่ยนของ Resupply อาศัยราคาที่สูงขึ้นนี้ ระบบจึงมีความเสี่ยง
ผู้โจมตีその叶ใช้สัญญาอัจฉริยะของ Resupply เพื่อยืม 10 ล้าน reUSD ซึ่งเป็นสเตเบิลคอยน์ดั้งเดิมของแพลตฟอร์ม โดยมี cvcrvUSD เพียงหนึ่ง wei เป็นหลักประกัน reUSD ที่ยืมมาได้ถูกเปลี่ยนเป็นสินทรัพย์อื่นในตลาดภายนอกอย่างรวดเร็ว ส่งผลให้สูญเสียสุทธิเกือบ 9.5 ล้านดอลลาร์
การตรวจสอบเพิ่มเติมพบว่าผู้โจมตีใช้ประโยชน์จาก ERC4626 wrapper ที่ว่างเปล่าซึ่งทำหน้าที่เป็น oracle ราคาในคู่ CurveLend ของโปรโตคอล สิ่งนี้ทำให้ราคาของ cvcrvUSD พุ่งสูงขึ้นโดยใช้ crvUSD เพียงสองตัว โดยข้ามข้อกำหนดหลักประกันปกติ
เหตุการณ์นี้เพิ่มแนวโน้มการโจมตีด้วยการบิดเบือนราคาในปี 2025 การโจมตีที่คล้ายกันส่งผลกระทบต่อโปรโตคอลเช่น Meta Pool และระบบนิเวศ GMX/MIM Spell ซึ่งทั้งสองถูกโจมตีเนื่องจากช่องโหว่ของ oracle และการบิดเบือนโทเค็นที่มีสภาพคล่องต่ำ
กลไกราคาที่อ่อนแอและเงินกู้แบบแฟลชยังคงเป็นเครื่องมือทั่วไปสำหรับผู้โจมตี ที่ยังคงกำหนดเป้าหมายระบบ DeFi ที่มีปริมาณการซื้อขายบาง แม้ว่าจะผ่านการตรวจสอบความปลอดภัยของสัญญาแล้วก็ตาม Resupply ยังไม่ยืนยันว่าผู้ใช้จะได้รับเงินคืนหรือไม่ หรือว่ามีความพยายามในการกู้คืนหรือไม่
แปลโดย HashSamurai
