Mango Market遭受攻击，损失1.16亿美元

北京时间2022年10月11日6:19，CertiK Skynet天网监测到Mango Market遭到黑客攻击，截至目前已损失1.16亿美元。攻击者操纵MNGO代币的价格，并恶意借贷超出应有数额的资产——攻击者使用两个地址操纵Mango代币和MNGO的价格，将其（Mango Market里面的市场价格）从0.038美元抬升至0.91美元。这使得攻击者可以利用MNGO大举借贷，最终导致约1.16亿美元的损失，不过，由于项目价格受到影响，这个数字正在波动。

攻击步骤

① 在此交易中，攻击者向第一个账户（CQvKSNn...）提供了500万枚USDC。

② 攻击者在订单簿中提供了4.83亿单位的MNGO perps（做空）。

③ 之后攻击者向第二个账户（4ND8FVPjU...）注资。

④ 然后以每单位0.0382美元的价格做多了4.83亿单位的MNGO perps。

⑤ 攻击者通过操纵价格预言机上MNGO的价格（在Mango Market里面的市场价格），将其拉高到0.91美元，从而在第二个账户上获利。

⑥ 由于MNGO/美元的价格为每单位0.91美元（在Mango Market里面的市场价格），第二个账户能够在Mango Market上借用其他代币。攻击者还用第二个账户中的资金（原始存款+将借贷的MNGO资金出售所得）在Mango Market上借入其他代币。

⑦ 上述借款行为使第一个账户的坏账总额为11,306,771.61美元，造成了115,182,674.43美元的资产损失。

除此之外，攻击者似乎已经与社区取得联系，在Mango DAO论坛的这篇帖子中提交将代币发回的建议：https://dao.mango.markets/dao/MNGO/proposal/3WZ5DpZXDvNAK4JwPS1HDPzSinEJUGpBC4XXx9vPtnVS

漏洞分析

攻击者操纵了价格预言机中Mango代币的价格。

例如其中一个价格预言机Switchboard使用的是FTX和Raydium提供的价格。Raydium(https://solscan.io/account/34tFULR...)的流动性极低，易于操作。

写在最后

此次攻击一部分原因源自MNGO/USDC市场的流动性不足，但今年3月时，这个确切的攻击向量已在在Mango Market的Discord频道中被提出。

目前Mango Market在推特上回应，呼吁用户避免与平台互动，并采取行动禁用存款。