Manipulation flash-loan xToken

Le 12 mai 2021, xToken a perdu environ 24 millions de dollars lorsque ses jetons de stratégie de liquidité xSNXa et xBNTa ont été exploités via une manipulation de prix par flash loan. Les stratégies tarifaient mint/redeem depuis des pools manipulables ; l'attaquant a biaisé les pools, minté des jetons de stratégie à bas prix, et les a rachetés pour les actifs sous-jacents réels.

Ce qui s'est passé

Le mint et la rédemption de xSNXa/xBNTa de xToken reposaient sur des prix on-chain qu'un attaquant pouvait bouger avec du capital emprunté en flash. L'attaquant a manipulé les pools Balancer/Kyber/Uniswap pertinents, acquis des jetons de stratégie à un taux déformé, et racheté pour bien plus de sous-jacent que dû équitablement (~24 M$). (xToken a subi un second incident séparé en août 2021.)

Pourquoi c'est important

xToken est l'un des plus gros cas 2021 de mauvaise tarification de jetons de stratégie par flash loan (Harvest, Value DeFi, Cream). Sa répétition (mai puis août 2021) le place aussi dans le groupe des multi-incidents. Le fil conducteur ne change jamais : une stratégie tokenisée dont le prix mint/redeem est lu depuis un lieu manipulable est un robinet d'arbitrage pour quiconque dispose d'un flash loan. D'ici mai 2021 cela avait déjà été démontré à plusieurs reprises depuis février 2020 ; xToken est l'écosystème, encore, ne lisant pas ses propres post-mortems.