2022年10月19日，据BeosinEagleEyeWeb3安全预警与监控平台监测显示，Celo生态上的Moola协议遭受攻击，黑客获利约840万美元。
据悉，MoolaMarket是一个非托管的流动性协议。使用过度抵押贷款、委托贷款或闪电贷款的借款人支付利息，存款人可以赚取复利。攻击发生之后，MoolaMarket表示，其团队正在积极调查这一事件，平台上的所有活动都已暂停。
动态 | 加密货币交易所Yobit疑似将参与价格操纵:据zycrypto消息，加密货币交易所Yobit日前发布的一条推文显示，该交易所正积极参与加密货币的价格操纵。Yobit在推特上透露：我们将每1-2分钟使用一枚BTC购买一种随机加密货币（总购买金额为10BTC）。将交易者和众多加密货币交易所联系在一起的数字货币交易平台Coinigy在最近的一条推文中透露了Yobit的计划。因为该计划将对市场上的加密货币的价值产生负面影响，Coinigy考虑将Yobit从起平台上移除，但在此之前需要征询加密社区的想法。对此，已有加密社区的成员表示赞成。[2018/10/11]
关于本次攻击事件，Beosin安全团队第一时间进行了分析，结果如下：
分析 | 华尔街日报：加密交易团体过去六个月通过价格操纵获利8.25亿美元:据华尔街日报8月5日发布的一项研究，数十个有组织的加密“交易团体”正在操纵一些最大的在线交易所的加密货币价格，已在过去六个月通过操纵市场获利8.25亿美元。价格操纵主要由有组织的“交易团体”通过使用Telegram等服务进行。据报道，华尔街日报在1月至7月底对交易平台之间的交易数据和在线交流进行了审查，确定了175个“拉高出货”的计划，涉及121种不同代币。[2018/8/7]
#事件相关信息
攻击者地址
0x5DAE2C3d5a9f35bFaf36A2E6edD07c477f57789e
BKCM创始人Brian Kelly：美国司法部调查比特币价格操纵从长远来看是一件好事:加密货币投资公司BKCM LLC首席执行官者Brian Kelly近日表示，美国司法部对比特币操纵的调查从长远来看是件好事情。他说：“如果美国司法部和CFTC觉得他们已经“清理”了市场，那么这将为美国支持的比特币ETF铺平了道路，并引导机构投资者入场。”[2018/5/25]
通过下图可以注意到黑客的起始资金为18万枚CELO，准备就绪之后，黑客便开始了他的攻击之旅。
第一步：看下图，可以看到攻击者进行了多笔交易，用CELO买入MOO。
第二步：攻击者使用MOO作为抵押品借出CELO。根据抵押借贷的常见逻辑，攻击者抵押了价值a的MOO，可借出价值b的CELO。
第三步：攻击者用贷出的CELO购买MOO，从而继续提高MOO的价格。每次交换之后，MOO对应CELO的价格变高。
第四步：由于抵押借贷合约在借出时会使用交易对中的实时价格进行判断，导致用户之前的借贷数量，并未达到价值b，所以用户可以继续借出CELO。通过不断重复这个过程，攻击者把MOO的价格从0.02CELO提高到0.73CELO。
第五步：攻击者进行了累计4次抵押MOO，10次swap，28次借贷，达到获利过程。
-8.82M?CELO
-1.85M?MOO
-765k?cEUR
-66k?cUSD
#漏洞分析
本次遭受攻击的抵押借贷实现合约并未开源，根据攻击特征可以猜测攻击属于价格操纵攻击。
抵押借贷合约支持4种代币的借贷CELO，cEUR，cUSD，MOO。推测抵押借贷合约中每种代币的价格可能是由其与CELO的交易对进行判断的。因为后3种代币未进行过交换，所以价格没有改变，只借贷了一次。
#资金追踪
截至发文时，攻击者将约93.1%的所得资金返还给了MoolaMarket项目方，将50?CELO捐给了impactmarket。自己留下了总计65万个CELO作为“赏金”。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。