More Markets 31 августа подвергся эксплойту на Flow EVM с оценкой ущерба около $9,3 млн: злоумышленник использовал позицию bonded-ликвидного стейкинга Ankr в сочетании с E-Mode, чтобы опустошить кредитный резерв WFLOW протокола.

В ходе атаки из рынка mFlowWFLOW было выведено 15,5 млн WFLOW, после чего активы прошли через серию пост-эксплойтных транзакций. Сумма $9,3 млн представляет собой первоначальную оценку детектора; окончательный размер безнадёжного долга и восстанавливаемых средств ещё предстоит установить.

Ankr LST и E-Mode использованы для вывода WFLOW

More Markets — некастодиальный протокол кредитования, построенный на Aave V3 и развёрнутый на Flow EVM. Пользователи могут вносить активы для получения доходности, размещать залог и брать займы из пулов ликвидности; среди поддерживаемых рынков — WFLOW и ankrFLOW.

Efficient Mode (E-Mode) в Aave V3 повышает эффективность использования капитала для активов, сгруппированных в коррелированные категории, за счёт настройки параметров LTV и ликвидации на уровне категории. Поэтому, когда подходящая позиция работает внутри категории E-Mode, функция может обеспечить больший объём заимствований, чем при стандартных настройках залога. E-Mode был разработан для активов, ожидаемо движущихся в цене согласованно, — например, токенов ликвидного стейкинга в паре с базовым стейком, — и повышенная заёмная мощность, которую он даёт, зависит от сохранения этой корреляции в условиях рыночного стресса или манипуляций.

В стандартной конфигурации Flow протокола More Markets WFLOW имеет LTV 81,5% с порогом ликвидации 83%, а ankrFLOW — LTV 78,5% с порогом ликвидации 81%. E-Mode может заменять эти стандартные параметры риска специализированными настройками категории для подходящих залоговых и долговых позиций.

Подтверждённый путь атаки строится вокруг позиции ликвидного стейкинга, связанной с Ankr, E-Mode и опустошённого резерва mFlowWFLOW. Пострадавшим компонентом стала система кредитования More Markets, а не базовая консенсус-инфраструктура Flow.

Ликвидность More Markets оказалась ниже оценки эксплойта

После обнаружения эксплойта More Markets располагал около $3,64 млн TVL и примерно $3,67 млн активных займов. Таким образом, первоначальная оценка ущерба в $9,3 млн существенно превышает оставшуюся заявленную заблокированную стоимость протокола.

Атака произошла менее чем через сутки после другого крупного эксплойта кредитного рынка. Cronos остановила производство блоков после эксплойта Tectonic с первоначальной оценкой потерь около $75 млн, где манипулированный залог TONIC использовался для заимствования более дорогих активов.

За несколько дней до этого отдельная атака на Moonwell в сети Base позволила вывести около $9 млн: злоумышленники искусственно завысили цену слаболиквидного залога MAMO, после чего заняли cbBTC, USDC и активы, связанные с Ethereum.

Все три инцидента объединяет общий механизм: залог, оценку которого можно было искажать, использовался для заимствования больших объёмов более ликвидных активов из кредитных резервов. Исторически это один из самых повторяющихся векторов потерь в DeFi-кредитовании, поэтому устоявшиеся протоколы ограничивают оракулы и заимствования против низколиквидных или тесно коррелированных пар активов.

Основная сеть Flow продолжает работать

Сама сеть Flow оставалась онлайн на протяжении всей атаки на More Markets. Ключевые компоненты основной сети работали штатно, включая финализацию блоков, исполнение транзакций, закрытие блоков и EVM Gateway сети.

Сеть не переживала общесетевой остановки, связанной с выводом средств из More Markets. На момент публикации EVM Gateway Flow и ключевая инфраструктура производства блоков продолжали работать. Среди нерешённых вопросов для протокола — окончательный расчёт безнадёжного долга, возможные усилия по восстановлению и отслеживанию средств в пост-эксплойтных транзакциях, а также вопрос, скорректирует ли More Markets параметры риска E-Mode и ликвидного стейкинга перед повторным открытием затронутого рынка.