Beosin：獲利約 900 萬美元，Moola 協議遭受黑客攻擊事件簡析

ChainCatcher 消息，据 Beosin EagleEye Web3 安全預警與監控平台監測顯示，Celo 上的 Moola 協議遭受攻擊，黑客獲利約 900 萬美元。Beosin 安全團隊第一時間對事件進行分析，結果如下：

第一步：攻擊者進行了多筆交易，用 CELO 買入 MOO，攻擊者起始資金（182000 枚 CELO）。
第二步：攻擊者使用 MOO 作為抵押品借出 CELO。根據抵押借貸的常見邏輯，攻擊者抵押了價值 a 的 MOO，可借出價值 b 的 CELO。
第三步：攻擊者用貸出的 CELO 購買 MOO，從而繼續提高 MOO 的價格。每次交換之後，Moo 對應 CELO 的價格變高。
第四步：由於抵押借貸合約在借出時會使用交易對中的即時價格進行判斷，導致用戶之前的借貸數量，並未達到價值 b，所以用戶可以繼續借出 CELO。通過不斷重複這個過程，攻擊者把 MOO 的價格從 0.02 CELO 提高到 0.73 CELO。
第五步：攻擊者進行累計 4 次抵押 MOO，10 次 swap（CELO 換 MOO），28 次借貸，達到獲利過程。

本次遭受攻擊的抵押借貸實現合約並未開源，根據攻擊特徵可以猜測攻擊屬於價格操縱攻擊。截止發文時，通過 Beosin Trace 追蹤發現攻擊者將約 93.1% 的所得資金返還給了 Moola Market 項目方，將 50 萬 CELO 捐給了 impact market。自己留下了總計 65 萬個 CELO 作為賞金。