Le TranchePool lié à Fence Finance / Valinor / Oatfi sur Avalanche a été vidé d’environ 1,013 million de $USDC vers 00 h 00 UTC le 28 octobre — la cause fondamentale n’était pas l’oracle, mais une faille de règlement où « la date d’échéance était considérée comme un remboursement effectué ».
1. L’attaquant a d’abord utilisé un prêt flash Aave d’environ 1,013 million de $USDC pour mettre en place sa position (le solde du pool était encore intact à ce moment-là), puis a effectué un nouveau retrait environ trois secondes plus tard, au changement de journée ; le solde du pool de $USDC est alors tombé à zéro.
2. Les analyses de SlowMist et d’autres acteurs indiquent que le règlement au changement de journée UTC comptabilisait le « remboursement prévu du principal » comme reçu, gonflant ainsi le montant pouvant être emprunté à nouveau. Une reproduction indépendante sur une fork confirme également cette piste.
3. Les fonds volés ont ensuite été transférés vers Solana via le burn de jetons par Circle CCTP ; un message publié sur la chaîne par Fence proposait une prime de 10 % en échange de la restitution de 90 % des fonds.
4. À retenir : pour les pools RWA et de crédit, surveillez particulièrement les « frontières temporelles » — changements de journée, dates d’échéance et intérêts courus. Une variation comptable ne signifie pas que les fonds ont réellement été reçus.
L’incident concerne l’écosystème $AVAX et la liquidité de $USDC ; les traces après le transfert inter-chaînes peuvent également concerner le côté $SOL .
Informations fournies à titre indicatif uniquement ; ceci ne constitue pas un conseil en investissement. DYOR ; utilisez uniquement les canaux officiels et ne cliquez pas sur les liens de réclamation provenant de sources inconnues.
#安全 #DeFi #USDC #AVAX #SOL
1. L’attaquant a d’abord utilisé un prêt flash Aave d’environ 1,013 million de $USDC pour mettre en place sa position (le solde du pool était encore intact à ce moment-là), puis a effectué un nouveau retrait environ trois secondes plus tard, au changement de journée ; le solde du pool de $USDC est alors tombé à zéro.
2. Les analyses de SlowMist et d’autres acteurs indiquent que le règlement au changement de journée UTC comptabilisait le « remboursement prévu du principal » comme reçu, gonflant ainsi le montant pouvant être emprunté à nouveau. Une reproduction indépendante sur une fork confirme également cette piste.
3. Les fonds volés ont ensuite été transférés vers Solana via le burn de jetons par Circle CCTP ; un message publié sur la chaîne par Fence proposait une prime de 10 % en échange de la restitution de 90 % des fonds.
4. À retenir : pour les pools RWA et de crédit, surveillez particulièrement les « frontières temporelles » — changements de journée, dates d’échéance et intérêts courus. Une variation comptable ne signifie pas que les fonds ont réellement été reçus.
L’incident concerne l’écosystème $AVAX et la liquidité de $USDC ; les traces après le transfert inter-chaînes peuvent également concerner le côté $SOL .
Informations fournies à titre indicatif uniquement ; ceci ne constitue pas un conseil en investissement. DYOR ; utilisez uniquement les canaux officiels et ne cliquez pas sur les liens de réclamation provenant de sources inconnues.
#安全 #DeFi #USDC #AVAX #SOL