Drainage des parts LP Spartan Protocol

Le 2 mai 2021 vers 16h00 UTC, Spartan Protocol — un AMM précoce de BSC — a été drainé d'environ 30 millions de dollars dans ce qui a été largement rapporté comme la première grande attaque flash loan sur Binance Smart Chain. L'exploit a frappé pendant la mise à niveau planifiée vers V2 du protocole, et le timing n'était pas une coïncidence.

Ce qui s'est passé

Les pools de Spartan calculaient la part LP de chaque utilisateur en se basant sur les soldes actuels de jetons à l'intérieur du pool, lus directement depuis le contrat du pool au moment du retrait. Le calcul était vulnérable à la manipulation par quiconque pouvait gonfler temporairement le solde du pool dans la même transaction que la rédemption.

L'attaque :

1. Emprunt flash de 100 000 wBNB sur PancakeSwap.
2. Échange d'une portion via le pool de Spartan pour pousser fort le prix de SPARTA contre wBNB.
3. Brûlage des jetons LP qu'ils détenaient, en rachetant une part calculée contre le solde actuel manipulé — ce qui les a crédités d'une valeur sous-jacente bien supérieure à ce que leur part représentait légitimement.
4. Répétition du cycle jusqu'à ce que le pool soit effectivement vide.
5. Remboursement du flash loan (100 260 wBNB après frais) et départ avec ~30 M$ en BNB, BTCB et BETH.

Les fonds volés ont été blanchis via 1inch, anyswap et Nerve Finance vers les versions bridgées Anyswap de grands actifs.

Conséquences

• Spartan a mis en pause les opérations et livré une refonte V2 avec un calcul de part LP corrigé.
• Le protocole n'a jamais pleinement récupéré sa position pré-incident dans la DeFi BSC.
• L'incident a été largement vu comme un signal d'alarme pour le secteur DeFi de BSC, qui croissait explosivement en 2021 avec moins de rigueur autour des tests d'invariants économiques que les protocoles côté Ethereum.

Pourquoi c'est important

Spartan est la première attaque flash loan canonique sur BSC, dans le même rôle que bZx a joué sur Ethereum un an plus tôt. La leçon structurelle est identique — ne jamais lire les quantités économiques à impact utilisateur directement depuis un solde de pool manipulable — mais le fait que BSC ait dû l'apprendre indépendamment, avec sa propre perte de 30 M$, présageait le pattern plus large : chaque nouvelle L1 et L2 réinvente les mêmes erreurs DeFi que ses prédécesseurs ont faites, sur son propre calendrier, avec ses propres millions de dollars en frais de scolarité.