FluidTokens تعوّض المقرضين بعد استغلال تغذية أوراكل على Cardano

قامت FluidTokens بتعويض المقرضين المتضررين من هجوم على بروتوكول الإقراض الخاص بها على Cardano وحجبت العقد الذكي الذي استُخدم لاستخراج الأموال من مجمعات السيولة المعزولة. وعزا الفريق الحادثة إلى مشكلة في تغذية بيانات أوراكل بدلا من ثغرة في مدققي البروتوكول. وأفاد بأن الضمانات وبقية مراكز الرموز لم تُحرّك.

الهجوم كان محصورا في سوق إقراض واحد

وفقا للتحليل المتاح على السلسلة، استمر الهجوم من نحو 20:59 بالتوقيت العالمي المنسق في 29 سبتمبر حتى 00:48 بالتوقيت العالمي المنسق في 30 سبتمبر. نفذت محفظة واحدة 57 معاملة استهدفت مجمعات معزولة كانت تقبل رمز المشروع كضمان.

بعض المعاملات التي جرى تحليلها استخدمت وحدة خام واحدة من FLDT، تساوي 0.000001 من الرمز، لفتح قروض أكبر بكثير. يوحي هذا النمط باحتمال وجود عدم تطابق في الوحدات ضمن بيانات الأوراكل، حيث جرى تطبيق سعر الرمز الكامل على أصغر وحدة محاسبية له.

في هذا السيناريو، قد تطبّق العقود الذكية قواعد نسبة القرض إلى القيمة بشكل صحيح أثناء استخدامها لمدخل سعري غير صحيح. وقد أكدت FluidTokens رسميا فقط أن الحادثة تضمنت مشكلة في تغذية الأوراكل. ويظل عدم تطابق الوحدات نتيجة لتحليل مستقل إلى أن ينشر الفريق تقرير ما بعد الحادثة.

لم يُكشف رسميا عن المبلغ النهائي الذي تمت إزالته. وتشير المعاملات المفككة إلى ما لا يقل عن نحو 67,000 ADA، ما يضع التدفق الخارجي المحدد حاليا في عشرات الآلاف من وحدات الأصل الأصلي لـ Cardano.

المجمعات المعزولة حدّت من التأثير

FluidTokens هو بروتوكول إقراض غير وصائي أطلق على Cardano في عام 2022. يمكن للمقرضين إنشاء مجمعات سيولة، واختيار الضمانات المقبولة وتحديد أسعار الفائدة، ومدة القرض وشروط التصفية. ويمكن للمقترضين الوصول إلى مجمعات تتطابق شروطها مع الأصول التي يقدّمونها كضمان.

تستخدم المجمعات الديناميكية بيانات الأوراكل لحساب قيم الضمان والسعة المتاحة للاقتراض. لذلك يركّز التحقيق التقني في الحادثة على البيانات المزوّدة لعقود الإقراض بدلا من القواعد التي يفرضها المدققون.

يملك كل مجمع من FluidTokens شروط سيولة وضمانات محددة بشكل منفصل. وقد منعت هذه البنية انتشار المدخل السعري الخاطئ إلى أسواق إقراض أخرى.

قال الفريق إن أي ضمانات أو مراكز رموز أخرى لم تُمس. وبقيت الأموال المحتفظ بها في العقود الموقوفة غير قابلة للوصول لكل من فريق FluidTokens والمهاجم.

تأتي الحادثة بعد استغلال وقع في 13 سبتمبر على مجمع StableSwap التابع لـ Splash، رغم أن الحالتين لهما أسباب مختلفة بحسب التقارير. فقد حدّدت Splash نقصا في عمليات التحقق داخل أحد المدققين، بينما عزت FluidTokens حادثتها إلى بيانات أسعار خارجية يستخدمها نظام الإقراض.

FluidTokens تعيد فتح الإقراض في 1 أكتوبر

ستعيد FluidTokens فتح بروتوكول الإقراض في 1 أكتوبر عند الساعة 16:30 بالتوقيت العالمي المنسق. وقد جرى تعويض المقرضين المتضررين قبل إعادة التشغيل، وقال الفريق إنه أجرى هندسة عكسية لعقد المهاجم الذكي وحظر بشكل دائم نمط المعاملات الذي استُخدم في الهجوم.

قدّمت Invariant0، فريق أمن Cardano المعروف سابقا باسم Vacuumlabs Auditing، المساعدة في الاستجابة. وقد شكرت FluidTokens علنا المدققين وأعضاء المجتمع الذين ساعدوا في تتبع المعاملات وتحليل الاستغلال.

لم يُنشر بعد المصدر الدقيق للقيمة الخاطئة من الأوراكل، ولا المبلغ النهائي الذي أزيل، ولا الضمانات الإضافية التي أُدخلت قبل إعادة الفتح. وقالت FluidTokens إن تلك التفاصيل ستُدرج في تحليل كامل للحادثة.

عند استئناف الإقراض، سيكون المقرضون المتضررون قد استعادوا كامل حقوقهم، وسيُحظر مسار السوق الذي جرى استغلاله، وستعود المراكز الموقوفة من دون أن تتحرك ضماناتها. أما ما تبقى الكشف عنه فهو المسار التقني الذي سمح لقيمة أوراكل غير صحيحة بأن تخوّل تلك القروض.