Tenga MUCHO cuidado al interactuar con campañas de @merkl_xyz no verificadas. Un mal actor está creando incentivos APR de tres dígitos en Sonic por depositar USDC en una bóveda de Euler y drena todos los depósitos. Así es como funciona: Debido a que Euler no tiene permisos, el atacante pudo implementar un mercado "falso" utilizando scUSD como garantía y USDC como deuda. El mercado tiene un límite de depósito de 1 dólar para scUSD, totalmente tomado por el mal actor. El precio del oráculo de scUSD se establece en $ 1 millón por token, lo que permite al atacante pedir prestados 700,000 USDC contra un solo scUSD (al 70% LTV). El atacante controla el oráculo y puede aumentar aún más el precio para extraer más fondos si es necesario. A continuación, el atacante creó una campaña falsa y no verificada en Merkl para atraer depósitos. Cualquier USDC depositado en este mercado se toma prestado, se intercambia por ETH y se transfiere a @RAILGUN_Project. Pérdidas actuales: aproximadamente $ 145,000 y creciendo. Como el atacante no está monitoreando activamente la bóveda en busca de nuevos depósitos, permitió que 0xc0f8feab321f8ffe97666768451747d16da8cad5, una víctima que previamente depositó USDC en esta bóveda, retirara USDC antes de que el atacante lograra tomarlo prestado. Si bien no creemos que @merkl_xyz o @eulerfinance tengan la culpa aquí, ya que ambos marcan claramente la campaña/mercado como no verificado, es probable @merkl_xyz que depositar en una campaña no verificada sea mucho más molesto con más advertencias emergentes, solo para evitar que esto suceda en el futuro. Operador principal: 0x8ba913e764c5cc9b22ee63737841059ad9caac5f Receptor final antes del cañón de riel: 0xa86399e78fb3d9fb5be053825a016e32d390fc12 La lista de víctimas se puede encontrar aquí: Campaña (ESTAFA, no deposite): Mercado de Euler (ESTAFA, no deposite): cc @zachxbt