Rodeo Finance dựa trên Arbitrum bị hack lần thứ hai, 1,5 triệu USD bị đánh cắp

Kẻ khai thác đã thao túng các nhà tiên tri về giá để chiếm thế thượng phong trong các giao dịch được thực hiện bằng cách sử dụng giá bị thao túng.

Giao thức tài chính phi tập trung (DeFi) dựa trên Arbitrum Rodeo Finance đã bị hack với giá 1,53 triệu USD vào ngày 11 tháng 7. Giao thức DeFi đã bị hack bằng lỗ hổng mã trong Oracle của nó, dẫn đến mất hơn 810 Ether.

Theo dữ liệu được chia sẻ bởi công ty phân tích chuỗi khối PeckShield, kẻ khai thác sau đó đã bắc cầu nối số tiền bị đánh cắp từ Arbitrum sang Ethereum và đổi 285 ETH lấy unshETH. Sau đó, người khai thác đã gửi ETH vào đặt cược Eth2. Cuối cùng, kẻ khai thác đã định tuyến ETH bị đánh cắp bằng cách sử dụng dịch vụ trộn phổ biến Tornado Cash, dịch vụ mà kẻ khai thác thường sử dụng làm lối thoát để che giấu dấu vết của giao dịch.

Kẻ khai thác đã sử dụng thao tác tiên tri giá trung bình theo trọng số thời gian, được các giao thức DeFi sử dụng để tính giá trung bình của một tài sản trong một khung thời gian cụ thể và giảm thiểu biến động giá do biến động thị trường.

Tuy nhiên, nó tạo ra một lỗ hổng cho những kẻ khai thác thao túng các lời tiên tri này bằng cách làm sai lệch giả tạo giá trung bình được tính toán của một tài sản. Điều này cho phép họ chiếm thế thượng phong và khai thác giao thức trong một giao dịch.

Đầu tiên, một kẻ lợi dụng sẽ vay một khoản tiền lớn của một tài sản và sau đó thao túng giá một cách giả tạo để mua cùng một tài sản với giá giảm nhẹ. Sau đó, kẻ khai thác trả lại khoản vay và kiếm lợi nhuận dựa trên mức giá thấp do các thao tác quản lý.

Địa chỉ ví của người khai thác vẫn giữ hơn 374 ETH và Etherscan đã đánh dấu  địa chỉ này là được liên kết với việc khai thác Rodeo. Giao thức DeFi có tổng giá trị bị khóa (TVL) là 20 triệu USD, giảm xuống dưới 500 USD sau khi khai thác. 

Việc khai thác cũng làm giảm giá của mã thông báo gốc của giao thức DeFi, giảm hơn 53% trong 24 giờ qua.

Chỉ riêng trong năm 2023, đã có 21 sự cố được ghi nhận thuộc một số hình thức khai thác trên Mạng Arbitrum, với tổng thiệt hại hơn 20 triệu USD. Lần khai thác mới nhất trị giá 1,53 triệu USD khiến nó trở thành lần khai thác lớn thứ năm được ghi nhận trên Aribitrum vào năm 2023. Rodeo Finance cũng bị hack vào ngày 5 tháng 7 với giá khoảng 89.000 USD do một lỗ hổng trong chức năng mintProtocolReserves của họ.