FluidTokens povrne posojilodajalcem po izkoriščanju oraklovega vira na Cardano

FluidTokens je povrnil sredstva posojilodajalcem, ki jih je prizadel napad na njegov posojilni protokol na Cardano, in blokiral pametno pogodbo, uporabljeno za iznos sredstev iz izoliranih likvidnostnih skladov. Ekipa je dogodek pripisala težavi z oraklovim virom podatkov, ne pa ranljivosti v validatorjih protokola. Poročali so, da zavarovanja in drugih pozicij v žetonih niso premaknili.

Napad je bil omejen na en posojilni trg

Po dostopni onchain analizi je napad potekal približno od 20:59 UTC 29. septembra do 00:48 UTC 30. septembra. Ena denarnica je izvedla 57 transakcij, usmerjenih na izolirane sklade, ki so sprejemali žeton projekta kot zavarovanje.

Nekatere analizirane transakcije so uporabile eno surovo enoto FLDT, kar je enako 0,000001 žetona, za odpiranje bistveno večjih posojil. Vzorec nakazuje možno neusklajenost enot v podatkih oraklja, pri čemer je bila cena celotnega žetona uporabljena na njegovo najmanjšo obračunsko enoto.

V takem scenariju bi pametne pogodbe lahko pravilno uveljavljale svoja pravila razmerja posojilo vrednost, čeprav bi uporabljale napačen cenovni vnos. FluidTokens je uradno potrdil le, da je bil v incident vključen oraklov vir podatkov. Neusklajenost enot za zdaj ostaja ugotovitev neodvisne analize, dokler ekipa ne objavi poročila po incidentu.

Končni odtujeni znesek uradno ni razkrit. Dekodirane transakcije zajemajo najmanj približno 67.000 ADA, kar trenutno ugotovljen odtok umešča v desettisoče enot izvornega sredstva Cardano.

Izolirani skladi so zamejili vpliv

FluidTokens je nekustodialni posojilni protokol, zagnan na Cardano leta 2022. Posojilodajalci lahko ustvarijo likvidnostne sklade, izberejo sprejeto zavarovanje in določijo obrestne mere, trajanje posojila ter pogoje likvidacije. Posojilojemalci lahko dostopajo do skladov, katerih pogoji ustrezajo sredstvom, ki jih ponudijo kot zavarovanje.

Dinamični skladi uporabljajo podatke oraklja za izračun vrednosti zavarovanj in razpoložljivega obsega zadolževanja. Zato se tehnična preiskava pri incidentu osredotoča na podatke, posredovane posojilnim pogodbam, ne pa na pravila, ki jih uveljavljajo validatorji.

Vsak sklad FluidTokens ima ločeno določene pogoje likvidnosti in zavarovanja. Takšna struktura je preprečila, da bi se napačen cenovni vnos razširil na druge posojilne trge.

Ekipa je povedala, da zavarovanja in druge žetonske pozicije niso bile dotaknjene. Sredstva v začasno ustavljenih pogodbah so ostala nedostopna tako ekipi FluidTokens kot napadalcu.

Incident sledi izkoriščanju sklada StableSwap projekta Splash 13. septembra, čeprav sta primera po poročilih imela različna vzroka. Splash je ugotovil manjkajoče preverbe v validatorju, medtem ko je FluidTokens svoj incident pripisal zunanjim cenovnim podatkom, ki jih uporablja posojilni sistem.

FluidTokens znova odpira posojanje 1. oktobra

FluidTokens bo svoj posojilni protokol znova odprl 1. oktobra ob 16:30 UTC. Prizadetim posojilodajalcem so povrnili sredstva pred ponovnim zagonom, ekipa pa je povedala, da je izvedla povratni inženiring napadalčeve pametne pogodbe in trajno blokirala vzorec transakcij, uporabljen v napadu.

Invariant0, varnostna ekipa Cardano, prej znana kot Vacuumlabs Auditing, je pomagala pri odzivu. FluidTokens se je javno zahvalil revizorjem in članom skupnosti, ki so pomagali pri sledenju transakcij in analizi izkoriščanja.

Natančen vir nepravilne oraklove vrednosti, končni odtujeni znesek in dodatni zaščitni ukrepi, uvedeni pred ponovnim odprtjem, še niso bili objavljeni. FluidTokens je dejal, da bodo ti podatki vključeni v celovito analizo incidenta.

Ko se posojanje nadaljuje, bodo prizadeti posojilodajalci v celoti povrnjeni, izkoriščena tržna pot bo blokirana, ustavljene pozicije pa se bodo vrnile brez premika njihovega zavarovanja. Preostala razkritja se nanašajo na tehnično pot, ki je omogočila, da je nepravilna oraklova vrednost odobrila posojila.