FluidTokens возместил средства кредиторам после эксплойта потока данных оракула Cardano

FluidTokens возместил средства кредиторам, пострадавшим от атаки на его кредитный протокол на Cardano, и заблокировал смарт контракт, использованный для извлечения средств из изолированных пулов ликвидности. Команда связала инцидент с проблемой в потоке данных оракула, а не с уязвимостью в валидаторах протокола. Также сообщается, что залоги и другие позиции по токенам не перемещались.

Атака ограничилась одним кредитным рынком

Согласно доступному ончейн анализу, атака продолжалась примерно с 20:59 UTC 29 сентября до 00:48 UTC 30 сентября. Один кошелек совершил 57 транзакций, нацеленных на изолированные пулы, принимавшие токен проекта в качестве обеспечения.

В некоторых из проанализированных транзакций использовалась одна базовая единица FLDT, равная 0.000001 токена, чтобы открыть существенно более крупные займы. Такая картина указывает на возможное несоответствие единиц измерения в данных оракула, когда цена полного токена применялась к его наименьшей учетной единице.

В таком сценарии смарт контракты могли корректно применять свои правила отношения займа к стоимости обеспечения, используя при этом неверную ценовую входную величину. FluidTokens официально подтвердил только то, что инцидент был связан с проблемой потока данных оракула. Несоответствие единиц остается выводом независимого анализа до публикации постмортема командой.

Окончательная сумма выведенных средств официально не раскрыта. Декодированные транзакции насчитывают как минимум около 67,000 ADA, что помещает текущий выявленный отток в диапазон десятков тысяч единиц нативного актива Cardano.

Изолированные пулы сдержали последствия

FluidTokens это некостодиальный кредитный протокол, запущенный на Cardano в 2022 году. Кредиторы могут создавать пулы ликвидности, выбирать принимаемое обеспечение и определять процентные ставки, срок займа и условия ликвидации. Заемщики получают доступ к пулам, чьи условия соответствуют активам, предоставленным ими в качестве залога.

Динамические пулы используют данные оракула для расчета стоимости залога и доступной емкости заимствования. Поэтому техническое расследование фокусируется на данных, подаваемых в кредитные контракты, а не на правилах, которые применяются валидаторами.

Каждый пул FluidTokens имеет отдельно заданные условия ликвидности и обеспечения. Такая структура не позволила некорректному входному ценовому значению распространиться на другие кредитные рынки.

Команда заявила, что залоги и другие позиции по токенам не были затронуты. Средства, находившиеся в приостановленных контрактах, оставались недоступны как для команды FluidTokens, так и для атакующего.

Инцидент произошел после эксплойта пула Splash StableSwap 13 сентября, хотя в этих двух случаях сообщаются разные причины. Splash выявил отсутствующие проверки в валидаторе, тогда как FluidTokens связал свой инцидент с внешними ценовыми данными, используемыми кредитной системой.

FluidTokens возобновит кредитование 1 октября

FluidTokens возобновит работу своего кредитного протокола 1 октября в 16:30 UTC. Пострадавшим кредиторам возместили средства до перезапуска, и команда сообщила, что провела реверс инжиниринг смарт контракта атакующего и навсегда заблокировала шаблон транзакций, использованный в атаке.

Invariant0, команда безопасности Cardano, ранее известная как Vacuumlabs Auditing, помогла с реагированием. FluidTokens публично поблагодарил аудиторов и членов сообщества, которые помогали отслеживать транзакции и анализировать эксплойт.

Точный источник некорректного значения оракула, окончательная сумма выведенных средств и дополнительные меры защиты, внедренные перед возобновлением работы, пока не опубликованы. В FluidTokens сообщили, что эти детали будут включены в полный разбор инцидента.

Когда кредитование возобновится, пострадавшие кредиторы будут полностью компенсированы, эксплуатируемый рыночный путь будет заблокирован, а приостановленные позиции вернутся без перемещения их залога. Остается раскрыть технический путь, который позволил некорректному значению оракула санкционировать выдачу займов.