Chainalysis, empresa matriz de Hexagate, revela que LpdFi sufrió un ataque de aproximadamente 700.000 dólares. Lo verdaderamente digno de atención no es el flash loan en sí, sino que la manipulación de precios, la valoración de los depósitos y los límites del devengo de intereses diario se encadenaron en una ruta de ataque.
Según su reconstrucción, el atacante primero tomó prestados unos 44 millones de dólares mediante un flash loan, elevó el precio de LPD en aproximadamente 71 veces durante un breve periodo en un exchange descentralizado y, luego, utilizó unos 2 millones de dólares en tokens para crear un registro de depósitos con un valor de aproximadamente 140 millones de dólares.
La acción clave ocurrió en un segundo al cruzar el umbral del devengo diario de intereses: la posición amplificada cobró el interés de todo un día, y después se activó la liquidación y el pool de liquidez del protocolo. Tras reembolsar el préstamo, el atacante obtuvo un beneficio de aproximadamente 700.000 dólares; posteriormente, los fondos se transfirieron a través de un canal entre cadenas y Tornado Cash.
Este tipo de incidentes recuerda a los desarrolladores de protocolos que los oráculos de precios, la valoración de depósitos, la liquidación de intereses y la liquidación no pueden limitarse a revisiones puntuales. ¿Qué capa crees que debería reforzarse primero: la fuente de precios o la regla de devengo de intereses entre días?
#DeFi #Security
Fuente: X oficial de Chainalysis. Los datos y el mecanismo han sido divulgados por ellos mismos y se comparten únicamente como información de seguridad.
Según su reconstrucción, el atacante primero tomó prestados unos 44 millones de dólares mediante un flash loan, elevó el precio de LPD en aproximadamente 71 veces durante un breve periodo en un exchange descentralizado y, luego, utilizó unos 2 millones de dólares en tokens para crear un registro de depósitos con un valor de aproximadamente 140 millones de dólares.
La acción clave ocurrió en un segundo al cruzar el umbral del devengo diario de intereses: la posición amplificada cobró el interés de todo un día, y después se activó la liquidación y el pool de liquidez del protocolo. Tras reembolsar el préstamo, el atacante obtuvo un beneficio de aproximadamente 700.000 dólares; posteriormente, los fondos se transfirieron a través de un canal entre cadenas y Tornado Cash.
Este tipo de incidentes recuerda a los desarrolladores de protocolos que los oráculos de precios, la valoración de depósitos, la liquidación de intereses y la liquidación no pueden limitarse a revisiones puntuales. ¿Qué capa crees que debería reforzarse primero: la fuente de precios o la regla de devengo de intereses entre días?
#DeFi #Security
Fuente: X oficial de Chainalysis. Los datos y el mecanismo han sido divulgados por ellos mismos y se comparten únicamente como información de seguridad.