D dzisiejszy hack @CrediX_fi jest spowodowany skompromitowanym kontem administratora 0xF321683831Be16eeD74dfA58b02a37483cEC662e, które ma szereg ról, w tym POOL_ADMIN, BRIDGE, ASSET_LISTING_ADMIN, EMERGENCY_ADMIN i RISK_ADMIN.
A rola BRIDGE jest nadużywana do opróżniania/pożyczania aktywów puli z szacowaną stratą w wysokości 4,5 miliona dolarów, w tym do mintowania niepopartych tokenów acUSDC (Credix Market Sonic USDC).
Nasza analiza pokazuje, że kontrakt stakingowy @meta_pool ma krytyczny błąd, który pozwala na darmowe mintowanie mpETH.
Ten konkretny tx swobodnie mintuje 9700+ mpETH (27 mln $), ale niska płynność mpETH ogranicza zysk do ~10 ETH.
Wygląda na to, że @Convergence_fi został właśnie wykorzystany (z utratą ~210 tys. dolarów) do wyemitowania 58 mln $CVG (58,718,395.05681812), które zostały wymienione na 60 WETH i 15,9 tys. crvFRAX.
Błąd jest częścią kontraktu CvxRewardDistributor, który nie weryfikuje (niezaufanego) wejścia użytkownika do zgłaszania nagród.
Oto transakcja hakerska: