FluidTokens reembolsa a los prestamistas tras el exploit del feed de oráculo de Cardano

FluidTokens ha reembolsado a los prestamistas afectados por un ataque a su protocolo de préstamos en Cardano y ha bloqueado el contrato inteligente utilizado para extraer fondos de pools de liquidez aislados. El equipo atribuyó el incidente a un problema con el feed de oráculo en lugar de a una vulnerabilidad en los validadores del protocolo. Informó que las garantías y otras posiciones de tokens no fueron movidas.

El ataque se limitó a un único mercado de préstamos

Según el análisis on-chain disponible, el ataque se extendió aproximadamente desde las 20:59 UTC del 29 de septiembre hasta las 00:48 UTC del 30 de septiembre. Una wallet ejecutó 57 transacciones dirigidas a pools aislados que aceptaban el token del proyecto como garantía.

Algunas de las transacciones analizadas usaron una unidad bruta de FLDT, equivalente a 0.000001 token, para abrir préstamos sustancialmente mayores. El patrón sugiere un posible desajuste de unidades en los datos del oráculo, con el precio de un token completo aplicado a su unidad contable más pequeña.

En ese escenario, los contratos inteligentes podrían hacer cumplir correctamente sus reglas de relación préstamo a valor mientras usan una entrada de precio incorrecta. FluidTokens solo ha confirmado oficialmente que el incidente involucró un problema con el feed de oráculo. El desajuste de unidades sigue siendo un hallazgo de análisis independiente hasta que el equipo publique su análisis post mortem.

El monto final retirado no se ha divulgado oficialmente. Las transacciones decodificadas representan al menos aproximadamente 67,000 ADA, lo que sitúa la salida identificada hasta ahora en decenas de miles de unidades del activo nativo de Cardano.

Los pools aislados contuvieron el impacto

FluidTokens es un protocolo de préstamos no custodial lanzado en Cardano en 2022. Los prestamistas pueden crear pools de liquidez, seleccionar la garantía aceptada y definir tasas de interés, duración de los préstamos y condiciones de liquidación. Los prestatarios pueden acceder a pools cuyos términos coinciden con los activos que aportan como garantía.

Los pools dinámicos utilizan datos de oráculo para calcular los valores de la garantía y la capacidad de endeudamiento disponible. Por lo tanto, el incidente centra la investigación técnica en los datos suministrados a los contratos de préstamo en lugar de en las reglas aplicadas por los validadores.

Cada pool de FluidTokens tiene condiciones de liquidez y garantía definidas por separado. Esta estructura evitó que la entrada de precio incorrecta se propagara a otros mercados de préstamos.

El equipo dijo que no se tocaron garantías ni otras posiciones de tokens. Los fondos retenidos en los contratos en pausa permanecieron inaccesibles tanto para el equipo de FluidTokens como para el atacante.

El incidente sigue al exploit del 13 de septiembre en el pool StableSwap de Splash, aunque los dos casos tienen causas reportadas diferentes. Splash identificó verificaciones ausentes en un validador, mientras que FluidTokens ha atribuido su incidente a datos de precios externos utilizados por el sistema de préstamos.

FluidTokens reabre los préstamos el 1 de octubre

FluidTokens reabrirá su protocolo de préstamos el 1 de octubre a las 16:30 UTC. Los prestamistas afectados fueron reembolsados antes del reinicio, y el equipo dijo que realizó ingeniería inversa del contrato inteligente del atacante y bloqueó de forma permanente el patrón de transacciones utilizado en el ataque.

Invariant0, el equipo de seguridad de Cardano antes conocido como Vacuumlabs Auditing, ayudó con la respuesta. FluidTokens agradeció públicamente a los auditores y a los miembros de la comunidad que ayudaron a rastrear las transacciones y analizar el exploit.

La fuente exacta del valor incorrecto del oráculo, el monto final retirado y las salvaguardas adicionales introducidas antes de la reapertura aún no se han publicado. FluidTokens dijo que esos detalles se incluirán en su análisis completo del incidente.

Cuando se reanuden los préstamos, los prestamistas afectados habrán sido restituidos, la ruta de mercado explotada habrá sido bloqueada y las posiciones en pausa volverán sin que sus garantías hayan sido movidas. La divulgación pendiente es la ruta técnica que permitió que un valor de oráculo incorrecto autorizara los préstamos.