Dnešní hackerský útok na @CrediX_fi je způsoben kompromitovaným 0xF321683831Be16eeD74dfA58b02a37483cEC662e účtu správce, který má řadu rolí, včetně rolí POOL_ADMIN, BRIDGE, ASSET_LISTING_ADMIN, EMERGENCY_ADMIN a RISK_ADMIN.
A role BRIDGE je zneužívána k odčerpávání/vypůjčování aktiv poolu s odhadovanou ztrátou 4,5 milionu dolarů, včetně ražby nekrytých tokenů acUSDC (Credix Market Sonic USDC).
Naše analýza ukazuje, že smlouva o sázení @meta_pool obsahuje kritickou chybu, která umožňuje bezplatnou ražbu mpETH.
Tento konkrétní tx volně razí 9700+ mpETH (27 milionů dolarů), ale nízká likvidita mpETH omezuje zisk na ~10 ETH.
Zdá se@Convergence_fi že byl právě využit (se ztrátou ~ 210 tisíc $) k ražbě 58m $CVG (58 718 395,05681812), které jsou vyměněny za 60 WETH a 15,9k crvFRAX.
Chyba je součástí smlouvy CvxRewardDistributor, která neověřuje (nedůvěryhodný) vstup uživatele pro nárokování odměn.
Zde je hack tx: