Serangan Mangga $100M: Bagaimana Paus Menipu Favorit Solana DeFi

Dalam suatu langkah yang berani, penyerang menggunakan token MNGO mereka untuk memilih proposal tata kelola Mango DAO mereka sendiri.

Paus Menargetkan Mangga 

Beberapa hari setelah jembatan BNB Chain terkena eksploitasi $ 566 juta, Mango Markets telah mengalami serangan sembilan angka. Protokol Solana DeFi ditargetkan Kamis malam setelah penyerang ikan paus menemukan cara untuk mendapatkan keuntungan dari memanipulasi pasarnya. Mango adalah tempat perdagangan terdesentralisasi yang dibangun di atas blockchain Solana. Menawarkan margin dan perdagangan berjangka, memungkinkan pengguna Solana DeFi bertaruh pada kinerja harga aset seperti SOL, ETH, dan BTC. “Panjang & pendek semuanya,” tagline di situsnya membaca. 

Menurut badai tweet hari Rabu dari tim Mango, pelaku menggunakan kepemilikan USDC mereka untuk mengambil dua posisi besar dalam kontrak berjangka abadi untuk token MNGO. Ini menyebabkan lonjakan harga buatan, yang memungkinkan penyerang mengambil serangkaian pinjaman besar, yang secara efektif menguras protokol likuiditasnya. Mereka menghabiskan lebih dari $100 juta dalam berbagai aset digital, termasuk USDC, MSOL, SOL, BTC, USDT, MNGO, dan SRM. 

Sementara tim Mangga berkata bahwa manipulasi harga MNGO diperburuk setelah nubuat diperbarui untuk menunjukkan harga yang meningkat untuk token, nubuat bekerja seperti yang dirancang. Bertentangan dengan beberapa laporan, ini bukan serangan khusus oracle, melainkan contoh klasik manipulasi pasar. Paus mampu melakukan serangan karena mereka memiliki jaminan USDC senilai jutaan dolar, dan mereka memanfaatkan likuiditas rendah di platform Mango. Serangan semacam itu dapat menimbulkan ancaman bagi protokol peminjaman lainnya seperti Mango; jika likuiditas mereka cukup dangkal untuk satu pedagang untuk memanipulasi harga token mereka, mereka berada pada risiko yang lebih besar. 

Manipulasi pasar adalah ilegal di dunia tradisional, tetapi penyerang sering tertarik pada DeFi, pasar yang tidak diatur yang kadang-kadang disebut sebagai “Liar West of finance.” Bahkan ketika regulator telah mulai memantau ruang lebih dekat dengan fokus pada stablecoin dan pencurian protokol, mungkin perlu waktu bertahun-tahun bagi mereka untuk menyelidiki sebuah kasus dan ada banyak insiden yang mereka lewatkan. Itu membuat DeFi menjadi lahan subur untuk kejenakaan pump-and-dump seperti yang dilakukan oleh paus Mango. 

Game DAO 

Meskipun demikian, gerakan paus setelah serangan itu menunjukkan bahwa mereka menyadari kemungkinan proses pidana. Posting di forum tata kelola Mango DAO, penyerang mempresentasikan sebuah lamaran itu akan membuat mereka mengembalikan sebagian besar dana yang terkuras jika tim Mango setuju untuk menggunakan USDC senilai $70 juta dari perbendaharaannya untuk membayar "utang macet" protokol. Jika disahkan, perbendaharaan akan pergi ke pengguna Mangga yang telah menyetor ke protokol yang sekarang sudah terkuras. 

Dalam catatan mereka, mereka juga menyarankan bahwa pemungutan suara untuk proposal tersebut akan dihitung sebagai kesepakatan untuk membatalkan rencana penyelidikan kriminal. Itu berbunyi: 

“Dengan memberikan suara untuk proposal ini, pemegang token mangga setuju untuk membayar hadiah ini dan melunasi hutang macet dengan perbendaharaan, dan melepaskan segala klaim potensial terhadap akun dengan hutang macet, dan tidak akan melanjutkan penyelidikan kriminal atau pembekuan dana setelah token dikirim kembali seperti yang dijelaskan di atas.”  

Proposal tersebut menempatkan tim Mango melawan penggunanya sendiri, dan juga berusaha untuk membebaskan penyerang dari kesalahan apa pun di mata hukum. Namun pada kenyataannya, proposal tata kelola DAO tidak mungkin lolos dengan penegakan hukum; jika pihak berwenang memutuskan bahwa serangan ini layak untuk diselidiki, mereka tidak akan ragu karena komunitas Mangga setuju untuk tidak mengajukan tuntutan. 

Terlebih lagi, proposal tersebut tidak mungkin dianggap terlalu serius hasil pemungutan suara saat ini. Penyerang menggunakan 32.9 juta token MNGO untuk menyetujui saran mereka sendiri, kira-kira sepertiga dari kekuatan suara yang diperlukan agar proposal dapat lolos. Itu karena tutup pada Sabtu dini hari. 

Apa yang terjadi selanjutnya? 

Meskipun tidak jelas bagaimana masa depan Mango akan terlihat, tim mengatakan membekukan protokol Rabu pagi untuk mencegah siapa pun membuat setoran baru. Dikatakan juga bahwa mencegah kerugian lebih lanjut, membuat pengguna utuh, dan membangun kembali setelah serangan adalah "prioritas" untuk DAO. 

Dalam serangan seperti ini, tim sering menawarkan hadiah bug kepada penyerang mereka untuk pengembalian dana yang aman. Sementara Mango belum memberikan tawaran hadiah kepada penyerang, CEO proyek Daffy Durairaj mempertimbangkan proposal kredit macet. Mereka menulis: 

“Hei, ini Daffy, kami sedang menghitung kerugian dan membatasi kerugian di mana pun kami bisa. Saya belum bisa memberikan proposal yang konkret, tetapi ini adalah tujuan saya dalam urutan kepentingan: 1. Anda dibebaskan dari kesalahan apa pun 2. Anda mendapat untung yang sehat 3. Semua deposan Mangga menjadi utuh 4. Mangga DAO mengelola beberapa perbendaharaan untuk membangun kembali Bagaimana menurutmu?” Durairaj tidak mengomentari apakah DAO akan memberikan $70 juta dari perbendaharaannya, tetapi postingannya mengisyaratkan bahwa dia berharap DAO menyimpan setidaknya sebagian dari cadangannya.  

Durairaj juga memposting twit awal Rabu, menegaskan kembali kepada deposan Mango bahwa dia akan melakukan "segala daya [nya]" untuk memulihkan dana mereka. 

Baik Durairaj dan penyerang telah menyarankan rencana yang mencoba untuk membuat pengguna Mangga utuh dan membersihkan nama penyerang, membiarkan mereka mendapatkan keuntungan yang rapi dalam prosesnya. Sementara Durairaj juga telah menyatakan harapan bagi tim untuk “membangun kembali” dampak dari insiden tersebut, apakah Mango akan mampu bertahan dari pukulan finansial dan reputasi yang begitu besar masih harus dilihat. 

Pengungkapan: Pada saat penulisan, penulis artikel ini memiliki ETH dan beberapa cryptocurrency lainnya.