De hack van vandaag bij @CrediX_fi is te wijten aan een gecompromitteerd admin-account 0xF321683831Be16eeD74dfA58b02a37483cEC662e, dat een aantal rollen heeft, waaronder POOL_ADMIN, BRIDGE, ASSET_LISTING_ADMIN, EMERGENCY_ADMIN en RISK_ADMIN.
En de BRIDGE-rol wordt misbruikt om poolactiva te onttrekken/te lenen met een geschatte schade van $4,5 miljoen, inclusief de mint van ongedekte acUSDC-tokens (Credix Market Sonic USDC).
Onze analyse toont aan dat het @meta_pool stakingcontract een kritieke bug heeft die gratis minten van mpETH mogelijk maakt.
Deze specifieke transactie mint vrij 9700+ mpETH ($27 miljoen), maar de lage liquiditeit van mpETH beperkt de winst tot ~10 ETH.
Het lijkt erop dat @Convergence_fi net is uitgebuit (met een verlies van ~$210k) om 58 miljoen $CVG (58.718.395,05681812) te minten, die zijn omgewisseld voor 60 WETH en 15,9k crvFRAX.
De bug maakt deel uit van het CvxRewardDistributor-contract, dat de (niet vertrouwde) gebruikersinvoer om beloningen te claimen niet valideert.
Hier is de hack transactie: