2022-10-13 #Mango #日本電産
- 今日の取引
日本電産。シグナルヒット
- Mango
How Market Manipulation Led to a $100M Exploit on Solana DeFi Exchange Mango
Mango でハッキングがあった模様。
ハッキングの専門サイトRektに`は精度低いながら意味を含ませた感じの記述。
詳細やCoinDesk
＜以下要約・超訳＞
ソラナ有数のプラットフォームであるMangoから9桁ドルの金額が失われる。
その前に。。。Mango とは？
Solana上の貸借取引や、先物、証拠金取引ができるプラットフォーム。
-貸借取引は、普通に持ってるものを預けたりその預けたものを担保に別物をかりたりする。The Defiです。AAVEとか、Venusとか。
- 先物、証拠金取引。厳密なところはすっ飛ばすけれども、貸借で預けた金額を余力として、レバレッジかけて取引できる。1000USDC預けたら、5000USDCまでのポジションもてる。みたいな。AAVEとかVenusとかにはない。
- あと普通の交換とかもDappsとして提供してる。
続けると、、、
攻撃者は、Mangoのネイティブトークン（#MNGO Mangoが発行しているトークン）をパンプさせて、そのパンプさせた額相当の他の通貨を借りて逃げた、感じ。
10円のものを預けて、値段を釣り上げて1000円にして、1000円相当のほかの価値のあるものを借りて逃げる。
実際には、2つのアカウントを利用した手口。
最初に500万ドル（7億くらい？）を貸借取引（Lendingです）に担保を差し入れ。
担保を入れたことにより、先物取引でMNGO先物の売り注文をいれる。0.0382ドルの指値。
次に別の口座の登場。おそらく、再度500万ドルのUSDCを担保に入れ、先の口座の0.0382の指値のMNGOの先物を買う。
この段階では、最初の口座（以下口座１）ではUSDCの担保に対し、MNGOショートポジ
口座2では、USDCの担保に対し、MNGOのLongポジ
次に、Spotマーケット（普通の交換できる市場）にて、MNGOの価格を釣り上げる。おそらく、流動性がそんなないはずなので普通に買い続けていけば簡単に上がっていく。10分で価格上昇の結果、1ドル付近、すなわち、30倍まで価格が上がった。
この時点で口座１はMNGOのショートのポジなので、清算されている、すなわち無価値なはず！
口座2はLongなので、含み益が400万ドルに膨れ上がる。
この400万ドルを使い、Lendingにて、いろんな通貨を借りまくる。
（おそらく）その先物の含み益分残して、担保や借り入れた通貨を引き出す。
そのあとMNGOのパンプが終わり元の価格（以下）に戻る。
これによって、借り入れることのできる資産が枯渇したとのこと。
ここでどうやら口座1のほうが清算されずに、元の価格（以下）に戻るので、そこからも担保の引き出し（どうやら、ここで流動性枯渇で全部は引き出せなかった模様。500万ドルのうち100万ドル弱）
その結果今10月13日時点でMangoにて115万ドルの負債を抱えちゃってる状態。そのほかMNGOをショートしてた口座で清算が発生したりしてめちゃくちゃになった模様
興味深いところとして、ガバナンスの投票がハッカー側から提案されている模様。
これは、ハッカー自身がMangoの大口保持者になっているので彼のProposalはどう転んでもYesとなる。
これは不正に入手したガバナンストークン（投票権）で、既存のユーザーが何もできない状態になった場合、悲惨なことになるということを示している。
提案は、今回の損失はバグバウンティーつまりバグの報奨金として、Mangoはあきらめて保険使って保障しつつ、訴追とか調査はしない、その代わり盗んだMSOL、SOL, MNGOはかえすよ、そんでもってMangoは以前と同じように運営できる。というもの。
Rektはここで、こういったことは既存金融で起きてきたことで、それにより規制などが発展してきたがDefiの分野やDaoではまだ未整備であり、この提案をMangoが受けた場合、将来的によいことなのか？と述べている。
最後の締めとして、、、いろんな警告が前もってあったにもかかわらず、Mangoの運営よ、なぜ回避できなかったのか？と。。。
Oracleの問題？
は、ありえないし、それではないとの見解がでる。
流動性がないトークンへの価格の提供については何らかの仕掛けが必要なのではという風にも思った。
