FluidTokens rimborsa i prestatori dopo exploit del feed dell'oracolo su Cardano

FluidTokens ha rimborsato i prestatori colpiti da un attacco al suo protocollo di prestito su Cardano e ha bloccato lo smart contract utilizzato per estrarre fondi dai pool di liquidità isolati. Il team ha attribuito l'incidente a un problema del feed dell'oracolo anziché a una vulnerabilità nei validatori del protocollo. Ha riferito che i collaterali e le altre posizioni in token non sono stati spostati.

L'attacco è stato limitato a un solo mercato di prestito

Secondo l'analisi on chain disponibile, l'attacco si è svolto approssimativamente dalle 20:59 UTC del 29 settembre fino alle 00:48 UTC del 30 settembre. Un wallet ha eseguito 57 transazioni prendendo di mira pool isolati che accettavano il token del progetto come collaterale.

Alcune delle transazioni analizzate hanno utilizzato un'unità grezza di FLDT, pari a 0,000001 token, per aprire prestiti sostanzialmente più grandi. Il modello suggerisce una possibile discrepanza di unità nei dati dell'oracolo, con il prezzo di un token intero applicato alla sua minima unità contabile.

In tale scenario, gli smart contract potrebbero far rispettare correttamente le loro regole di rapporto loan to value pur utilizzando un input di prezzo errato. FluidTokens ha confermato ufficialmente solo che l'incidente ha coinvolto un problema del feed dell'oracolo. La discrepanza di unità rimane una constatazione di analisi indipendente finché il team non pubblicherà il suo resoconto post mortem.

L'importo finale rimosso non è stato divulgato ufficialmente. Le transazioni decodificate rappresentano almeno circa 67.000 ADA, collocando il deflusso attualmente identificato nelle decine di migliaia di unità dell'asset nativo di Cardano.

I pool isolati hanno contenuto l'impatto

FluidTokens è un protocollo di prestito senza custodia lanciato su Cardano nel 2022. I prestatori possono creare pool di liquidità, selezionare i collaterali accettati e definire tassi di interesse, durata dei prestiti e condizioni di liquidazione. I mutuatari possono accedere ai pool i cui termini corrispondono agli asset che forniscono come collaterale.

I pool dinamici utilizzano i dati dell'oracolo per calcolare i valori del collaterale e la capacità di prestito disponibile. L'incidente quindi concentra l'indagine tecnica sui dati forniti ai contratti di prestito piuttosto che sulle regole applicate dai validatori.

Ogni pool di FluidTokens ha condizioni di liquidità e di collaterale definite separatamente. Questa struttura ha impedito che l'input di prezzo errato si diffondesse ad altri mercati di prestito.

Il team ha affermato che nessun collaterale o altra posizione in token è stata toccata. I fondi detenuti nei contratti in pausa sono rimasti inaccessibili sia al team di FluidTokens sia all'attaccante.

L'incidente segue l'exploit del 13 settembre del pool StableSwap di Splash, sebbene i due casi abbiano cause dichiarate diverse. Splash ha identificato controlli mancanti in un validatore, mentre FluidTokens ha attribuito il suo incidente a dati di prezzo esterni utilizzati dal sistema di prestito.

FluidTokens riapre i prestiti il 1 ottobre

FluidTokens riaprirà il suo protocollo di prestito il 1 ottobre alle 16:30 UTC. I prestatori colpiti sono stati rimborsati prima della ripartenza e il team ha dichiarato di aver eseguito ingegneria inversa sullo smart contract dell'attaccante e di aver bloccato in modo permanente il modello di transazione utilizzato nell'attacco.

Invariant0, il team di sicurezza di Cardano precedentemente noto come Vacuumlabs Auditing, ha assistito nella risposta. FluidTokens ha ringraziato pubblicamente gli auditor e i membri della comunità che hanno aiutato a tracciare le transazioni e ad analizzare l'exploit.

La fonte esatta del valore errato dell'oracolo, l'importo finale rimosso e le ulteriori misure di salvaguardia introdotte prima della riapertura non sono ancora stati pubblicati. FluidTokens ha affermato che tali dettagli saranno inclusi nella sua analisi completa dell'incidente.

Quando i prestiti riprenderanno, i prestatori colpiti saranno stati rimborsati integralmente, il percorso di mercato sfruttato sarà stato bloccato e le posizioni in pausa torneranno senza che i loro collaterali siano stati spostati. L'unico elemento di divulgazione rimanente è il percorso tecnico che ha consentito a un valore errato dell'oracolo di autorizzare i prestiti.