FluidTokens reembolsa credores após exploit do feed de oráculo da Cardano

FluidTokens reembolsou credores afetados por um ataque ao seu protocolo de empréstimos na Cardano e bloqueou o contrato inteligente usado para extrair fundos de pools de liquidez isolados. A equipe atribuiu o incidente a um problema no feed de oráculo e não a uma vulnerabilidade nos validadores do protocolo. Relatou que as garantias e outras posições em tokens não foram movidas.

O ataque ficou limitado a um único mercado de empréstimos

De acordo com as análises on-chain disponíveis, o ataque ocorreu aproximadamente das 20h59 UTC de 29 de setembro até 00h48 UTC de 30 de setembro. Uma carteira executou 57 transações mirando pools isolados que aceitavam o token do projeto como garantia.

Algumas das transações analisadas usaram uma unidade bruta de FLDT, equivalente a 0,000001 token, para abrir empréstimos substancialmente maiores. O padrão sugere um possível desencontro de unidades nos dados do oráculo, com o preço de um token inteiro aplicado à sua menor unidade contábil.

Nesse cenário, os contratos inteligentes poderiam aplicar corretamente suas regras de relação entre empréstimo e valor da garantia mesmo usando um preço incorreto como entrada. FluidTokens confirmou oficialmente apenas que o incidente envolveu um problema no feed de oráculo. O desencontro de unidades permanece como um achado de análises independentes até que a equipe publique seu post mortem.

O valor final removido não foi divulgado oficialmente. As transações decodificadas somam pelo menos cerca de 67.000 ADA, colocando a saída identificada até o momento nas dezenas de milhares de unidades do ativo nativo da Cardano.

Pools isolados contiveram o impacto

FluidTokens é um protocolo de empréstimos sem custódia lançado na Cardano em 2022. Credores podem criar pools de liquidez, selecionar as garantias aceitas e definir taxas de juros, duração dos empréstimos e condições de liquidação. Tomadores podem acessar pools cujos termos correspondem aos ativos que oferecem como garantia.

Pools dinâmicos usam dados de oráculo para calcular os valores das garantias e a capacidade de empréstimo disponível. O incidente portanto concentra a investigação técnica nos dados fornecidos aos contratos de empréstimo e não nas regras aplicadas pelos validadores.

Cada pool da FluidTokens tem condições de liquidez e garantia definidas separadamente. Essa estrutura impediu que a entrada de preço incorreta se espalhasse por outros mercados de empréstimo.

A equipe disse que nenhuma garantia ou outra posição em tokens foi tocada. Os fundos mantidos nos contratos pausados permaneceram inacessíveis tanto para a equipe da FluidTokens quanto para o atacante.

O incidente segue o exploit de 13 de setembro no pool StableSwap da Splash, embora os dois casos tenham causas relatadas diferentes. Splash identificou verificações ausentes em um validador, enquanto FluidTokens atribuiu seu incidente a dados de preço externos usados pelo sistema de empréstimos.

FluidTokens reabre empréstimos em 1 de outubro

FluidTokens reabrirá seu protocolo de empréstimos em 1 de outubro às 16h30 UTC. Os credores afetados foram reembolsados antes da retomada, e a equipe disse que fez engenharia reversa do contrato inteligente do atacante e bloqueou permanentemente o padrão de transação usado no ataque.

Invariant0, a equipe de segurança da Cardano anteriormente conhecida como Vacuumlabs Auditing, auxiliou na resposta. FluidTokens agradeceu publicamente aos auditores e membros da comunidade que ajudaram a rastrear as transações e analisar o exploit.

A fonte exata do valor incorreto do oráculo, o valor final removido e as salvaguardas adicionais introduzidas antes da reabertura ainda não foram divulgados. FluidTokens disse que esses detalhes serão incluídos em sua análise completa do incidente.

Quando os empréstimos forem retomados, os credores afetados terão sido integralmente ressarcidos, o caminho de mercado explorado terá sido bloqueado e as posições pausadas retornarão sem que suas garantias tenham sido movidas. A divulgação que falta é o caminho técnico que permitiu que um valor de oráculo incorreto autorizasse os empréstimos.