Am 11. November 2022 hat ein Hacker die niedrige Liquidität von Mango Markets ausgenutzt, um über 116 Millionen US-Dollar zu stehlen. Dieser Vorfall wurde als Angriff auf das Solana-basierte DeFi-Netzwerk identifiziert, bei dem der Hacker eine Taktik der "Orakelpreismanipulation" angewendet hat, wie in einem Tweet des offiziellen Kontos der Kryptowährungsbörse Mango aufgezeigt. Der Angriff auf die dezentrale Handelsplattform Mango Markets fand Mitte Oktober statt, als Händler eine Schwachstelle ausnutzten und mehr als 110 Millionen US-Dollar an Kryptowährungen aus dem Netzwerk stahlen. Die Vorgehensweise des Hackers begann damit, dass er ein Konto auf der Plattform mit 5 Millionen USDC (USD Coin) finanzierte, welche dann verwendet wurden, um 483 Einheiten der perpetuellen Verträge in Mango (MNGO) Token zu erwerben, der nativen Kryptowährung der Plattform.
Der Angreifer nutzte diese Technik, um den Preis von MNGO von 0,03 auf 0,91 Dollar zu steigern, was den Wert seiner MNGO-Bestände auf 423 Millionen Dollar erhöhte. Die Mittel wurden dann verwendet, um einen Kredit in Höhe von 116 Millionen Dollar unter Verwendung mehrerer Token auf der Plattform aufzunehmen. Leider führte der Kredit zur vollständigen Entleerung der Liquidität von Mango Markets, was zu einem starken Rückgang des MNGO-Preises auf 0,02 Dollar führte. Das Entwicklungsteam von Mango Markets hat daraufhin erklärt, dass es den Vorfall untersucht und eine Untersuchung eingeleitet hat. Die Organisation informierte ihre Nutzer über verschiedene Social-Media-Kanäle, dass vorübergehend keine Einzahlungen möglich sind, während weitere Untersuchungen durchgeführt werden.
Außerdem wurde den Nutzern empfohlen, keine Einzahlungen auf die Plattform vorzunehmen, bis dies deaktiviert ist. Der Angreifer konnte den MNGO-Token-Preis manipulieren, indem er riesige perpetuelle Verträge abschloss und den Preis in kurzer Zeit um das 30-fache erhöhte. Eine solche Ausnutzung ist schwierig, wenn es eine sehr große Menge an Liquidität gibt, da der erforderliche Geldbetrag zur Manipulation des Preises viel höher wäre. Bei neuen oder relativ unbekannten Token gibt es oft extrem wenig Liquidität, wodurch Pump-and-Dump-Systeme mit solchen Token häufiger auftreten. Mango Markets hätte sich vor dieser Ausnutzung schützen können, wenn es über ausreichend Liquidität verfügt hätte.
Die Nutzung eines automatisierten Market Makers (AMM) ist eine Strategie, die Mango Markets möglicherweise genutzt hätte, um ihren Liquiditätsgrad zu steigern. Automatisierte Market Maker sind Computerprogramme, die den Preis eines Tokens bestimmen, indem sie Liquidität von Benutzern sammeln und verschiedene mathematische Formeln anwenden. Ben Roth, Mitbegründer und Chief Investment Officer von Auros, einem algorithmischen Market-Making-Unternehmen, sagte gegenüber Cointelegraph: „Ungünstiges Handelsverhalten ist ein Ergebnis von illiquiden Marktbedingungen. Wenn „böswillige Akteure“ in der Lage sind, einen Angriffsvektor zu konstruieren, der aufgrund der geringen Liquidität eine hohe Sicherheit bietet, steigt die Anreizierung, diese Arten von „Ausbeutungen“ durchzuführen.“ „Wenn man mit einem algorithmischen Market-Maker zusammenarbeitet, entmutigen Token-Ersteller gleichzeitig dieses ungünstige Verhalten, während sie das Vertrauen in die Konsistenz der Liquidität unter verschiedenen Marktbedingungen aufbauen.
“ Große Token-Inhaber, auch bekannt als Liquiditätsanbieter (LPs), sind für den Betrieb von AMMs verantwortlich. LPs sind dafür verantwortlich, gleiche Mengen an Token-Paarungen (wie MNGO/USDC) in Pools einzuführen. Dies ermöglicht es dezentralen Börsen, ihre Liquidität auszulagern und den LPs eine Vergütung in Form eines Anteils an den auf der Plattform erhobenen Handelsgebühren zu bieten. Einen Tag nach dem Angriff auf Mango Markets machte der Angreifer über die dezentrale autonome Organisation (DAO) einen Vorschlag, der Teil der Plattform war. Der Angreifer schlug vor, dass das Mango DAO jegliche ausstehenden Schulden in Höhe von 70 Millionen Dollar aus seinem Treasury begleichen sollte, anstatt die Gelder des Angreifers zu verwenden.
Nach Ablauf dieses Vorschlags würde die Mango DAO-Gruppe die gestohlenen Token an eine von der Mango DAO verantwortliche Gruppe senden. Die Mango Markets-Community stimmte schließlich zu, dem Angreifer einen großen Teil der Token als "Bug-Bounty" zu belassen. Die Konditionen sehen vor, dass 67 Millionen Dollar der gestohlenen Token zurückgegeben werden, während der Angreifer die verbleibenden 47 Millionen Dollar aus dem gestohlenen Betrag von 117 Millionen Dollar behalten wird. Die Einigung wurde durch eine Abstimmung im Mango DAO erreicht, bei der 98% der Wähler (oder 291 Millionen Token) zustimmten. Die Mangoe Markets verzichten auf strafrechtliche Schritte gegen den Hacker.
Der Angreifer, der den Angriff durchgeführt hat, gab später seine Identität preis. Avraham Eisenberg gab auf Twitter bekannt, dass er in ein Team involviert war, das letzte Woche eine äußerst profitable Handelsstrategie durchgeführt hatte, nämlich die Verantwortlichen für den 100-Millionen-Dollar-Angriff auf Mango Markets. Eisenberg behauptete, all ihre Aktionen seien legale Markthandlungen gewesen, die das Protokoll wie vorgesehen verwendet hätten, auch wenn das Entwicklungsteam nicht alle Folgen der Parameterstellung vollständig antizipiert hätte. Eisenberg wies darauf hin, dass Mango Markets infolge des Angriffs konkurs gegangen sei und dass das Versicherungsgeld nicht ausreichte, um alle Liquidationen zu decken. Aufgrund dessen gingen mehr als hundert Millionen Dollar an Benutzergeldern verloren.
Eisenberg behauptete jedoch, er habe bei der Verhandlung einer Vereinbarung mit dem Versicherungsfonds geholfen, um alle Benutzer wieder vollständig zu entschädigen, während er die Börse rekapitalisierte. Eisenberg schloss seinen Twitter-Thread damit ab, dass "alle Benutzer ihre Einlagen vollständig und ohne Verluste abrufen könnten", sobald das Mango-Team den Vorgang abgeschlossen habe. Eisenberg behauptet weiterhin, dass seine Handlungen legal waren und automatischen Deleveraging auf Kryptowährungsbörsen ähnelten. Beim automatischen Deleveraging verwenden Börsen einen Teil der Gewinne erfolgreicher Trader, um Verluste auszugleichen, die durch andere Trader entstanden sind, die liquidiert wurden. Obwohl Benutzer theoretisch rechtliche Schritte gegen Eisenberg einleiten könnten, sagte Michael Bacina, Partner der australischen Anwaltskanzlei Piper Alderman, dass es nicht wirtschaftlich sei.
Bacina erklärte: „Vorausgesetzt, die Ansprüche überleben den Vorschlag, müssten etwaige Ansprüche dennoch um die Beträge gekürzt werden, die ein Mitglied infolge des Vorschlags erhalten hat, was bedeutet, dass viele Mitglieder nur begrenzte kommerzielle Anreize hätten, Herrn Eisenberg zu verklagen.“ Es wird interessant sein zu sehen, wie DeFi-Protokolle ihre Systeme besser sichern können, entweder durch den Einsatz von AMMs, um solche Angriffe von vornherein zu stoppen, oder durch nachträgliche rechtliche Schritte. Erstellt von Conny Journalist.
