針對 @DriftProtocol 的這筆攻擊的細節版… 攻擊者大約在2-3周前mint了一個叫 $cvt CarbonVote Token，在raydium上用500u組了個池子（一個 $cvt 是 1u） 之後就開始刷量，給oracle製造有“價格歷史”（這步很關鍵） 在4月1號的時候開始發動攻擊 攻擊者拿到了admin key - 先把cvt 這個token list在drift的spot（這步是讓cvt能成為抵押品）同時把各個vault的usdc提現上限限制解除 之後就通過5個錢包把785m （價值785m u）的cvt以抵押品的形式（cvt在drfit上有spot且有喂價）質押進來協議然後瘋狂在各個spot market借貸 用31筆交易在12分鐘內把包括usdc jlp usdt等20多個vault的資金洗劫一遍，損失超過了200m+ 之後把資產通過wormhole跨鏈到ethereum再換成 $eth （誰說 $eth 沒有價值的？） 這次的攻擊本質上還是admin key被compromise了 耐人尋味的是，有網上據說 Drift的核心人員在幾周前離開了.. 在這個時間點，要同時有admin key，而且用的是抵押借貸的邏輯，整個攻擊耗時20分鐘左右… 希望能追回來 出處：x.com/ArxsTV/status/2039423108...…