Ogromne naruszenie bezpieczeństwa w Makina Finance: 5 milionów dolarów wykradzionych w ataku typu flash loan

Zaawansowany mechanizm ataku

Według CertiK, atakujący wycelował w stablecoinową pulę DUSD/USDC na Makina Finance. Operacja rozpoczęła się od flash loan o wartości 280 milionów USDC. Około 170 milionów USDC zostało użyte do tymczasowego zachwiania równowagi w MachineShareOracle, powiązanej z wyceną puli. Po tej manipulacji atakujący wymienił pozostałe 110 milionów USDC w dużej puli, opróżniając większość jej aktywów o wartości około 5 milionów dolarów.

Różne firmy zajmujące się bezpieczeństwem przedstawiły odmienne szacunki dotyczące finansowych skutków ataku. GoPlus Security oszacowało straty na około 5,1 miliona dolarów, podczas gdy PeckShield podał, że wycofane aktywa były równowartością 4,13 miliona dolarów w ETH. Kluczowym punktem podkreślonym w raporcie CertiK była interwencja MEV buildera podczas transakcji, który przejął znaczną część środków. Około 4,14 miliona dolarów zostało przechwycone przez infrastrukturę MEV, wyprzedzając atakującego.

Makina Finance, założona w lutym 2025 roku, oferuje strategie instytucjonalnego poziomu i działa jako silnik wykonawczy DeFi. Według DefiLlama, platforma posiadała w momencie incydentu całkowitą wartość zablokowanych aktywów na poziomie 100,49 miliona dolarów.

Szybka reakcja Makina Finance

Po ataku Makina Finance nie potwierdziła od razu naruszenia za pośrednictwem oficjalnych kanałów. Pierwsza komunikacja pojawiła się na ich serwerze Discord we wtorek rano, gdzie potwierdzono publiczne rozmowy i jednocześnie weryfikowano szczegóły. Druga wiadomość, wysłana około dwie godziny później, wskazywała, że problem wydaje się ograniczony do pozycji dostawców płynności DUSD na Curve, zalecając im wycofanie środków. Jednak brakowało jednoznacznego przyznania się do poniesionej straty.

Atak wpisuje się w rosnący trend incydentów w sektorze kryptowalut w 2025 roku. Chainalysis podał, że w tym roku skradziono kryptowaluty o wartości ponad 3,41 miliarda dolarów, z czego znaczną część – rekordowe 2,02 miliarda dolarów – przypisano podmiotom powiązanym z Koreą Północną.

Incydent z Makina Finance podkreśla trwające systemowe ryzyko wynikające z dużych operacji flash loan w protokołach DeFi silnie uzależnionych od wyroczni.