More Markets ha subito un exploit stimato in 9,3 milioni di dollari su Flow EVM il 31 agosto, dopo che un attaccante ha utilizzato una posizione di liquid staking vincolata su Ankr insieme a E-Mode per svuotare la riserva di lending WFLOW del protocollo.

L'attacco ha rimosso 15,5 milioni di WFLOW dal mercato mFlowWFLOW prima che gli asset transitassero attraverso un gruppo di transazioni successive all'exploit. La cifra di 9,3 milioni di dollari rappresenta l'impatto iniziale rilevato dai detector, mentre il debito finale e gli importi recuperabili devono ancora essere determinati.

LST di Ankr ed E-Mode utilizzati per svuotare WFLOW

More Markets è un protocollo di lending non custodiale basato su Aave V3 e distribuito su Flow EVM. Gli utenti possono fornire asset per generare rendimento, depositare collateral e prendere in prestito dalle riserve di liquidità, con WFLOW e ankrFLOW tra i mercati supportati.

L'Efficient Mode di Aave V3, o E-Mode, aumenta l'efficienza del capitale per gli asset raggruppati in categorie correlate, consentendo parametri di loan-to-value e di liquidazione a livello di categoria. La funzione può quindi supportare una capacità di prestito maggiore rispetto alle impostazioni standard di collateral quando una posizione idonea opera all'interno di una categoria E-Mode. E-Mode è stato progettato per asset che si prevede si muovano in modo sincronizzato di prezzo, come i token di liquid staking abbinati al loro stake sottostante, e la maggiore capacità di prestito che consente dipende dal mantenimento di tale correlazione in condizioni di stress di mercato o manipolazione.

Nella configurazione standard di Flow di More Markets, WFLOW ha un LTV dell'81,5% con una soglia di liquidazione dell'83%, mentre ankrFLOW ha un LTV del 78,5% e una soglia di liquidazione dell'81%. E-Mode può sostituire questi parametri di rischio standard con impostazioni specifiche per categoria per le posizioni di collateral e di debito idonee.

Il percorso d'attacco confermato si concentra sulla posizione di liquid staking legata ad Ankr, su E-Mode e sulla riserva mFlowWFLOW svuotata. Il componente colpito è stato il sistema di lending di More Markets, non l'infrastruttura di consenso sottostante di Flow.

La liquidità di More Markets scende sotto la stima dell'exploit

Dopo la scoperta dell'exploit, More Markets deteneva circa 3,64 milioni di dollari di TVL, alongside circa 3,67 milioni di dollari di prestiti attivi. L'impatto iniziale di 9,3 milioni di dollari rilevato dai detector è quindi sostanzialmente superiore al valore bloccato residuo dichiarato dal protocollo.

L'attacco segue un altro importante exploit nel settore dei mercati di lending avvenuto meno di un giorno prima. Cronos ha arrestato la produzione di blocchi dopo che un exploit su Tectonic ha prodotto una stima iniziale delle perdite vicina ai 75 milioni di dollari, con collateral TONIC manipolato utilizzato per prendere in prestito asset di valore superiore.

Pochi giorni prima, un distinto attacco a Moonwell su Base ha estratto circa 9 milioni di dollari, dopo che gli attaccanti hanno gonfiato il collateral MAMO a bassa liquidità prima di prendere in prestito cbBTC, USDC e asset legati a Ethereum.

I tre incidenti condividono un meccanismo comune: collateral il cui valore poteva essere distorto è stato utilizzato per prendere in prestito importi maggiori di asset più liquidi dalle riserve di lending. Questo schema è stato storicamente uno dei vettori di perdita più ricorrenti nel lending DeFi, motivo per cui i protocolli consolidati limitano gli oracoli e il borrowing contro coppie di asset a bassa liquidità o strettamente correlate.

La mainnet di Flow continua a operare

Flow stessa è rimasta online per tutta la durata dell'attacco a More Markets. I componenti principali della mainnet sono rimasti operativi, inclusi la finalizzazione dei blocchi, l'esecuzione delle transazioni, il sealing dei blocchi e l'EVM Gateway della rete.

La rete non ha subito alcun arresto dell'intera mainnet legato al prelievo da More Markets. Alla pubblicazione, l'EVM Gateway di Flow e l'infrastruttura principale di produzione dei blocchi restavano operativi. Tra le questioni in sospeso per il protocollo figurano la contabilità finale del debito, eventuali sforzi di recupero o tracciamento dei fondi legati alle transazioni successive all'exploit e la possibilità che More Markets modifichi i propri parametri di rischio per E-Mode e il liquid staking prima di riaprire il mercato interessato.