FluidTokens nadoknađuje zajmodavcima nakon iskorištavanja propusta u Cardano oracle feedu

FluidTokens je nadoknadio zajmodavcima pogođenima napadom na svoj Cardano protokol za posuđivanje i blokirao je pametni ugovor koji je korišten za izvlačenje sredstava iz izoliranih likvidnosnih fondova. Tim je incident pripisao problemu s oracle feedom, a ne ranjivosti u validatorima protokola. Objavljeno je da kolateral i druge pozicije u tokenima nisu premješteni.

Napad je bio ograničen na jedno tržište posuđivanja

Prema dostupnoj on chain analizi, napad je trajao otprilike od 20:59 UTC 29. rujna do 00:48 UTC 30. rujna. Jedan novčanik izvršio je 57 transakcija usmjerenih na izolirane fondove koji su prihvaćali token projekta kao kolateral.

Neke od analiziranih transakcija koristile su jednu sirovu jedinicu FLDT, jednaku 0.000001 tokena, za otvaranje znatno većih zajmova. Obrazac upućuje na moguću neusklađenost jedinica u oracle podacima, pri čemu je cijena cijelog tokena primijenjena na njegovu najmanju obračunsku jedinicu.

U tom scenariju pametni ugovori mogli bi ispravno provoditi svoja pravila omjera zajma prema vrijednosti dok koriste pogrešan cjenovni ulaz. FluidTokens je službeno potvrdio samo da je incident uključivao problem s oracle feedom. Neusklađenost jedinica ostaje nalaz neovisne analize dok tim ne objavi post mortem.

Konačni iznos koji je uklonjen nije službeno objavljen. Dekodirane transakcije obuhvaćaju najmanje približno 67,000 ADA, što trenutno identificirani odljev svrstava u desetke tisuća jedinica izvorne imovine Cardano.

Izolirani fondovi ograničili su utjecaj

FluidTokens je nekustodijalan protokol za posuđivanje pokrenut na mreži Cardano 2022. Zajmodavci mogu stvarati likvidnosne fondove, odabrati prihvaćeni kolateral i definirati kamatne stope, trajanje zajma i uvjete likvidacije. Zajmoprimci mogu pristupiti fondovima čiji uvjeti odgovaraju imovini koju pružaju kao kolateral.

Dinamični fondovi koriste oracle podatke za izračun vrijednosti kolaterala i dostupnog kapaciteta zaduživanja. Incident stoga usmjerava tehničku istragu na podatke koji se dostavljaju ugovorima za posuđivanje, a ne na pravila koja provode validatori.

Svaki FluidTokens fond ima zasebno definirane likvidnosne i kolateralne uvjete. Takva je struktura spriječila širenje pogrešnog cjenovnog ulaza na druga tržišta posuđivanja.

Tim je naveo da kolateral niti druge pozicije u tokenima nisu dirane. Sredstva zadržana u pauziranim ugovorima ostala su nedostupna i timu FluidTokens i napadaču.

Incident slijedi eksploataciju Splash’s StableSwap fonda 13. rujna, iako dva slučaja imaju različite prijavljene uzroke. Splash je identificirao izostale provjere u validatoru, dok je FluidTokens svoj incident pripisao vanjskim cjenovnim podacima koje koristi sustav posuđivanja.

FluidTokens ponovno otvara posuđivanje 1. listopada

FluidTokens će ponovno otvoriti svoj protokol za posuđivanje 1. listopada u 16:30 UTC. Pogođeni zajmodavci nadoknađeni su prije ponovnog pokretanja, a tim je naveo da je reverse inženjeringom analizirao napadačev pametni ugovor i trajno blokirao obrazac transakcija korišten u napadu.

Invariant0, Cardano sigurnosni tim ranije poznat kao Vacuumlabs Auditing, pomogao je u odgovoru. FluidTokens je javno zahvalio revizorima i članovima zajednice koji su pomogli u praćenju transakcija i analizi eksploatacije.

Točan izvor netočne oracle vrijednosti, konačni uklonjeni iznos i dodatne zaštitne mjere uvedene prije ponovnog otvaranja još nisu objavljeni. FluidTokens je naveo da će ti detalji biti uključeni u njegovu potpunu analizu incidenta.

Kad se posuđivanje nastavi, pogođeni zajmodavci bit će u potpunosti namireni, iskorišteni tržišni put bit će blokiran i pauzirane će se pozicije vratiti bez pomicanja njihova kolaterala. Preostalo je razotkriti tehnički put koji je omogućio da netočna oracle vrijednost odobri zajmove.