Il mercato dell'oro tokenizzato su Morpho perde $230K dopo un errore di configurazione dell'Oracle

Il mercato della tokenizzazione dell'oro Paxos (PAXG) sul protocollo DeFi Morpho Protocol ha subito un exploit oggi, portando a una perdita di $230.000. Secondo il fondatore di Chaos Labs Omer Goldberg, l'incidente è stato causato da un errore durante la configurazione del prezzo dell'Oracle per $2,6 trilioni.

In un post-mortem dell'incidente condiviso su X, Omer ha spiegato che una configurazione errata dell'Oracle è probabile perché il deployer del mercato PAXG/USDC non ha compreso appieno il sistema decimale della piattaforma. Il protocollo Morpho consente agli utenti di creare mercati di prestito decentralizzati e impostare i parametri.

Omer ha spiegato:

“L'Oracle SCALE_FACTOR era configurato erroneamente, non tenendo conto delle differenze tra i decimali in USDC (6 decimali) e PAXG (18 decimali). Questo ha portato a un'inflazione di 12 decimali nel prezzo, sovrastimando l'oro di un fattore di 10^12.”

L'exploiter ha notato l'erroso in tempo, quindi ha immediatamente inviato $350 di PAXG al mercato, utilizzandolo per prelevare $230.000 in USDC.

Sebbene l'incidente sembri essere stato causato da un errore da parte del deployer, Omer ha osservato che il protocollo non ha segnalato il problema e l'interfaccia utente di Morpho Protocol mostrava il prezzo corretto dell'oro.

A suo parere, questo è probabilmente perché il monitoraggio della sicurezza si è concentrato sui prezzi di riferimento invece che sul prezzo dell'Oracle.

Morpho Protocol afferma che la piattaforma rimane sicura

Nel frattempo, Omer ha notato che l'incidente evidenzia alcuni dei rischi dell'utilizzo di piattaforme decentralizzate come il protocollo Morpho, poiché c'è bisogno di precisione quando si configurano tali mercati di prestito, specialmente per i parametri che guidano gli oracle e i rischi.

Ha anche chiesto un monitoraggio in tempo reale, dicendo:

“Il monitoraggio del rischio in tempo reale, in questo caso una deviazione tra il prezzo del mercato Morpho e un prezzo di riferimento esterno, è essenziale per prevenire incidenti come questo.”

Tuttavia, lo sviluppatore del protocollo Morpho Labs ha risposto notando che l'incidente non era dovuto a alcun problema di sicurezza sulla sua piattaforma. Piuttosto, è stato perché il curatore del rischio ha commesso errori.

Il team ha detto:

“Crediamo che sia importante differenziare tra vulnerabilità dei contratti intelligenti sottostanti e errori a livello di curazione del rischio – proprio come le coppie mal configurate su Uniswap non sono considerate exploit del protocollo stesso.”

Ha ulteriormente descritto l'incidente come un problema isolato che non ha avuto impatto sul protocollo, notando che anche il curatore del rischio ha recuperato parte dei fondi e sta lavorando per rimborsare i prestatori. Lo sviluppatore ha aggiunto che fornirà più strumenti per aiutare i curator a limitare tali errori in futuro.

Nonostante le chiarificazioni, alcuni utenti credono ancora che il fornitore dell'Oracle utilizzato sia responsabile e hanno chiesto a Morpho Labs di fare affidamento esclusivamente su Chainlink per tutti i suoi feed di prezzo. Tuttavia, il team ha detto che il suo protocollo è agnostico rispetto agli oracle, con ogni curatore del rischio libero di scegliere gli oracle e il feed privato che vuole.

Nel frattempo, il co-fondatore di Kamino Finance Marius ha notato che il curatore del rischio in questo caso non era un curatore del rischio a tempo pieno, il che è probabilmente ciò che ha portato all'errore. Ha anche confermato che la maggior parte dei fondi è stata recuperata e che il problema è sotto controllo.

L'investitore crypto dice che l'incidente non è un exploit 

Mentre le discussioni sull'incidente si sono concentrate sul suo impatto, Felipe Montealegre, co-fondatore della società di investimento crypto Theia Capital, crede che non sia un problema significativo. Secondo lui, le perdite da parte dei fornitori di capitale sono una parte intrinseca del sistema di prestito, con persino le istituzioni finanziarie tradizionali che perdono denaro sul prestito.

Ha dichiarato:

“Anche il debito corporate con rating B di Moody's ha un tasso di default a tre anni del 17%. Non puoi avere una piattaforma di prestito interessante dove i fornitori di capitale non perdono occasionalmente denaro.”

Tuttavia, ha ammesso che mentre i curator del rischio possono assumere rischi e perdere fondi, i protocolli DeFi sottostanti funzionano correttamente e come pubblicizzato. Ha notato che è esattamente ciò che è accaduto a Morpho Protocol, poiché il problema è stato causato da un errore del gestore dei fondi e non aveva nulla a che fare con il protocollo. Pertanto, ha notato che questo non era un exploit DeFi nel vero senso della parola.