Highlights
- Seorang peretas menguras sekitar 15,5 juta WFLOW, senilai sekitar $9,3 juta, dari cadangan lending More Markets di Flow EVM.
- Firma keamanan Blockaid menyebut eksploitasi ini memadukan token staking Ankr untuk FLOW dengan mode efisiensi Aave V3 untuk melakukan overborrow terhadap pool.
- Jumlah yang dicuri lebih dari dua kali lipat total value locked protokol ini sebelum eksploitasi, yang sekitar $3,99 juta, mengindikasikan pool kini menanggung bad debt signifikan.
- Baik More Markets maupun More Labs belum menerbitkan post-mortem resmi saat laporan ini dibuat.
More Markets, protokol lending noncustodial yang dibangun di atas arsitektur Aave V3 dan dirilis di Flow EVM, kehilangan sekitar $9,3 juta setelah seorang peretas menguras 15,5 juta WFLOW dari cadangan mFlowWFLOW-nya, menurut Crypto Banter, yang mengutip firma keamanan Blockaid. Firma ini menyebut penyerang memadukan token staked FLOW milik Ankr dengan mode efisiensi protokol tersebut untuk melakukan overborrow terhadap pool.
Bagaimana Eksploitasi Ini Bekerja
Blockaid mengidentifikasi mekanismenya sebagai "Ankr bonded LST + E-mode", merujuk pada ankrFLOW, token liquid staking yang nilainya bertambah seiring akumulasi reward staking, dipadukan dengan mode efisiensi Aave V3 — fitur yang dirancang agar peminjam bisa menarik lebih banyak modal terhadap aset yang seharusnya memiliki korelasi harga ketat. CryptoTimes melaporkan kerentanan ini kemungkinan berasal dari cara More Markets menghargai korelasi tersebut secara internal, bukan dari cacat pada kontrak Ankr sendiri, dan melacak serangan ini ke satu transaksi eksploitasi utama serta kontrak penyerang khusus sebelum dana berpindah lewat wallet perantara terpisah. Blockaid tidak mengaitkan Ankr atau blockchain Flow itu sendiri dengan insiden ini, dan menyebut kerugian on-chain final serta tujuan aset yang dikuras masih dalam proses rekonsiliasi.
Pool yang Sudah Tipis Sejak Awal
Yang mencolok adalah ketidaksesuaian ukurannya: More Markets hanya membawa sekitar $3,99 juta total value locked dan sekitar $3,48 juta pinjaman aktif sebelum serangan, tapi kehilangan $9,3 juta — lebih dari dua kali lipat TVL-nya sendiri. Kesenjangan ini menunjukkan cadangan protokol sendiri dan pool terkait lainnya ikut menyerap bad debt jauh melampaui apa yang sebenarnya disetorkan, pola yang juga terlihat pada eksploitasi terkait E-mode lain, di mana asumsi penetapan harga aset berkorelasi memungkinkan penyerang meminjam jauh melampaui backing riil pool tersebut.
Baca juga: Cronos Setop Chain Usai Eksploitasi Tectonic $75 Juta, Dana Curian Terjebak
Bagian dari Pola yang Lebih Luas di Chain Baru
Insiden ini menambah rentetan eksploitasi DeFi di chain EVM-compatible yang lebih baru atau berlikuiditas rendah tahun ini, di mana protokol lending yang dibangun cepat di atas kode Aave hasil fork mewarisi fitur mode efisiensi tanpa selalu memverifikasi ulang asumsi harga di baliknya. Bagi Flow, chain yang gencar mendorong untuk menarik aktivitas DeFi yang kompatibel dengan EVM, drain berprofil tinggi begitu cepat setelah peluncuran berisiko memperlambat pertumbuhan deposit yang dibutuhkan ekosistem ini untuk bersaing dengan L2 dan app-chain yang lebih mapan.
Pandangan ke Depan
Yang perlu dipantau adalah post-mortem resmi dari More Labs yang merinci cacat kontrak pastinya serta rencana apa pun untuk mengganti kerugian depositor terdampak, sekaligus pembaruan yang dijanjikan Blockaid soal angka kerugian final dan apakah dana bisa dibekukan atau dipulihkan on-chain.
FAQ
Berapa banyak yang dicuri dari More Markets?
Seorang peretas menguras sekitar 15,5 juta token WFLOW, yang menurut estimasi Blockaid setara sekitar $9,3 juta.
Apa penyebab eksploitasi ini?
Blockaid menyebut penyerang memadukan token liquid staking FLOW milik Ankr dengan mode efisiensi Aave V3 untuk melakukan overborrow terhadap pool lending More Markets.
Apakah Ankr atau Flow sendiri yang diretas?
Tidak. Blockaid tidak menyatakan kontrak Ankr atau blockchain Flow disusupi; mereka mengidentifikasi integrasi penetapan harga milik More Markets sendiri sebagai titik kegagalannya.
Apakah More Markets sudah merespons?
Belum ada pernyataan post-mortem resmi atau langkah remediasi yang dipublikasikan More Markets maupun More Labs saat laporan ini dibuat.
