FluidTokensがCardanoのオラクルフィード悪用後に貸し手へ返金

FluidTokensは、同社のCardanoレンディングプロトコルに対する攻撃で影響を受けた貸し手に返金し、アイソレートされた流動性プールから資金を抜き出すために使われたスマートコントラクトをブロックした。チームは、この事案をプロトコルのバリデータの脆弱性ではなくオラクルフィードの問題に起因するとした。担保やその他のトークンポジションは移動されていないと報告した。

攻撃の影響は一つのレンディングマーケットに限定

入手可能なオンチェーン分析によれば、この攻撃は9月29日20時59分UTC頃から9月30日00時48分UTC頃まで行われた。一つのウォレットが、当該プロジェクトのトークンを担保として受け入れていたアイソレートプールを狙って57件のトランザクションを実行した。

分析対象のトランザクションの一部では、0.000001トークンに相当するFLDTの最小単位1ユニットを用いて、実際よりはるかに大きなローンを開設していた。このパターンは、オラクルデータにおける単位の不一致の可能性を示唆しており、トークン1個分の価格が最小の会計単位に適用されていたことを示している。

その場合、スマートコントラクトは誤った価格入力を用いながらも、ローン価値比率のルール自体は正しく適用できてしまう。FluidTokensが公式に確認しているのは、今回の事案がオラクルフィードの問題を伴っていたという点のみである。単位の不一致については、チームがポストモーテムを公開するまでは、独立した分析による所見の段階にとどまる。

流出した最終的な金額は公式には開示されていない。デコードされたトランザクションは少なくとも約67,000 ADAを示しており、現在特定されている流出額はCardanoのネイティブ資産で数万単位に上る。

アイソレートプールが影響を封じ込めた

FluidTokensは2022年にCardano上でローンチされたノンカストディアルのレンディングプロトコルである。貸し手は流動性プールを作成し、受け入れる担保を選び、金利や貸出期間や清算条件を定義できる。借り手は自らが担保として提供する資産に条件が合致するプールを利用できる。

ダイナミックプールはオラクルデータを用いて担保価値と借入可能枠を計算する。したがって今回の事案に関する技術的な調査の焦点は、バリデータが適用するルールではなく、レンディングコントラクトに供給されたデータに置かれている。

FluidTokensの各プールは、流動性と担保の条件が個別に定義されている。この構造により、誤った価格入力が他のレンディングマーケットに波及することが防がれた。

チームは、担保やその他のトークンポジションには手が触れられていないと述べた。一時停止されたコントラクトに保管された資金には、FluidTokensのチームも攻撃者もアクセスできない状態が維持された。

今回の事案は、9月13日に発生したSplashのStableSwapプールの悪用に続くものだが、報告されている原因は異なる。Splashはバリデータにおけるチェック漏れを特定した一方で、FluidTokensは自社の事案をレンディングシステムで用いられた外部の価格データに起因するとしている。

FluidTokensは10月1日にレンディングを再開

FluidTokensは10月1日16時30分UTCにレンディングプロトコルを再開する。影響を受けた貸し手には再開前に返金が行われ、チームは攻撃者のスマートコントラクトをリバースエンジニアリングして、攻撃に用いられたトランザクションのパターンを恒久的にブロックしたと述べた。

以前はVacuumlabs Auditingとして知られていたCardanoのセキュリティチームInvariant0が対応を支援した。FluidTokensは、トランザクションの追跡と悪用手口の分析に協力した監査人やコミュニティメンバーに対し、公に謝意を示した。

誤ったオラクル値の正確な発生源、最終的な流出額、再開前に導入された追加の安全策については、まだ公表されていない。FluidTokensは、それらの詳細を包括的なインシデント分析に含めると述べた。

レンディングが再開される時点で、影響を受けた貸し手の損失は補填済みとなり、悪用されたマーケットの経路は遮断され、一時停止されたポジションは担保が移動されることなく復帰する。残る開示事項は、誤ったオラクル値がローンの承認を可能にした技術的経路である。