Lodestar Finance 在闪电贷攻击中被利用

据悉，12月10日，基于Arbitrum的借贷协议LodestarFinance在闪电贷攻击中被利用。据Lodestar称，攻击者在使用膨胀的代币借入所有平台流动性之前操纵了plvGLP代币的价格。

在Twitter线程中，Lodestar解释了攻击流程。该公司表示，攻击者首先将plvGLP合约的汇率操纵为1.83GLP/plvGLP，“这种利用本身是无利可图的”。

然后，攻击者向Lodestar提供plvGLP抵押品并借用所有可用流动性，套现部分资金“直到抵押率机制阻止plvGLP的完全清算”。

在黑客攻击之后，“几个plvGLP持有者也利用了这个机会，并以每个plvGLP1.83glp的价格套现。”DeFi平台指出，黑客能够销毁超过300万的GLP，从“Lodestar上被盗的资金减去他们销毁的GLP”中获利。

攻击者获利约580万美元。Lodestar表示，近280万的GLP（约240万美元）是可收回的，应该用于偿还存款人。

导致攻击的主要漏洞存在于GLPOracle内部及其定价方式。在一项分析中，SolidityFinance审计团队表示，该事件强调“利用预言机来抵抗操纵是DeFi的一个至关重要的部分，尤其是在借出用户资产的协议中。”

在一份声明中，治理聚合商PlutusDAO指出，其“产品和平台在整个活动中完全按照预期运行。Plutus上的所有资金都是完全安全的。该漏洞利用完全是Lodestar的预言机实施的结果。”它还指出：“我们想承担推广未经审计的协议的责任。虽然利用漏洞绝不是Plutus的错，但我们认识到我们太急于推广集成plvGLP的协议这一事实。随着plvGLP获得巨大的吸引力，我们希望向我们的社区强调所有plvGLP集成，以强调集成为个人用户和协议带来的采用和机会。为此，我们深表歉意。我们跳了枪，今后我们将不再推广未经审计的协议。“

Lodestar攻击类似于10月11日的MangoMarkets攻击，当时攻击者通过操纵价格预言机数据窃取了超过1亿美元，使黑客能够获得抵押不足的加密货币贷款。