FluidTokens, Cardano oracle beslemesi istismarı sonrası borç verenlere geri ödeme yaptı

FluidTokens, Cardano üzerindeki borç verme protokolüne yönelik bir saldırıdan etkilenen borç verenleri tazmin etti ve izole likidite havuzlarından fon çekmek için kullanılan akıllı sözleşmeyi engelledi. Ekip, olayı protokolün doğrulayıcılarındaki bir güvenlik açığından değil, bir oracle beslemesi sorunundan kaynaklandığına bağladı. Teminatların ve diğer token pozisyonlarının hareket etmediğini bildirdi.

Saldırı Tek Bir Borç Verme Piyasasıyla Sınırlıydı

Zincir üstü mevcut analize göre saldırı 29 Eylül saat 20:59 UTC civarından 30 Eylül saat 00:48 UTC'ye kadar sürdü. Bir cüzdan, projenin tokenini teminat olarak kabul eden izole havuzları hedefleyen 57 işlem gerçekleştirdi.

Analiz edilen bazı işlemler, 0.000001 tokene eşit 1 ham FLDT birimi kullanarak çok daha büyük krediler açtı. Bu örüntü, oracle verilerinde olası bir birim uyumsuzluğunu, tam bir tokenin fiyatının en küçük muhasebe birimine uygulanmasını düşündürüyor.

Bu senaryoda akıllı sözleşmeler, yanlış bir fiyat girdisi kullanırken bile teminat oranı kurallarını doğru şekilde uygulayabilirdi. FluidTokens, olayın bir oracle beslemesi sorunu içerdiğini resmi olarak doğruladı. Birim uyumsuzluğu ise ekip olay sonrası raporunu yayımlayana kadar bağımsız analiz bulgusu olmaya devam ediyor.

Çıkarılan nihai tutar resmi olarak açıklanmadı. Çözümlenen işlemler en az yaklaşık 67.000 ADA'ya karşılık geliyor, bu da şu anda tanımlanan çıkışı Cardano'nun yerel varlığının on binlerce birimi aralığına yerleştiriyor.

İzole Havuzlar Etkiyi Sınırladı

FluidTokens, 2022'de Cardano üzerinde başlatılan gözetim dışı bir borç verme protokolüdür. Borç verenler likidite havuzları oluşturabilir, kabul edilecek teminatı seçebilir ve faiz oranlarını, kredi süresini ve tasfiye koşullarını tanımlayabilir. Borçlular, teminat olarak sundukları varlıklarla uyumlu koşullara sahip havuzlara erişebilir.

Dinamik havuzlar, teminat değerlerini ve kullanılabilir borçlanma kapasitesini hesaplamak için oracle verilerini kullanır. Bu nedenle olay, doğrulayıcıların uyguladığı kurallardan ziyade borç verme sözleşmelerine sağlanan verilere odaklanan bir teknik incelemeyi gerektiriyor.

Her FluidTokens havuzu, likidite ve teminat koşullarını ayrı ayrı tanımlar. Bu yapı, hatalı fiyat girdisinin diğer borç verme piyasalarına yayılmasını engelledi.

Ekip, hiçbir teminatın ya da diğer token pozisyonlarının dokunulmadığını söyledi. Durdurulan sözleşmelerde tutulan fonlar, hem FluidTokens ekibi hem de saldırgan için erişilemez kaldı.

Olay, Splash'in StableSwap havuzunun 13 Eylül'deki istismarının ardından geldi, ancak iki olayın bildirilen nedenleri farklı. Splash bir doğrulayıcıda eksik kontroller tespit ederken, FluidTokens olayı borç verme sisteminin kullandığı harici fiyat verilerine bağladı.

FluidTokens 1 Ekim'de Borç Vermeyi Yeniden Açıyor

FluidTokens, borç verme protokolünü 1 Ekim saat 16:30 UTC'de yeniden açacak. Etkilenen borç verenlere yeniden başlatmadan önce geri ödeme yapıldı ve ekip saldırganın akıllı sözleşmesini tersine mühendislikle analiz ettiğini ve saldırıda kullanılan işlem örüntüsünü kalıcı olarak engellediğini söyledi.

Invariant0, daha önce Vacuumlabs Auditing olarak bilinen Cardano güvenlik ekibi, yanıta destek verdi. FluidTokens, işlemleri izlemeye ve istismarı analiz etmeye yardımcı olan denetçilere ve topluluk üyelerine kamuoyunda teşekkür etti.

Hatalı oracle değerinin kesin kaynağı, çıkarılan nihai tutar ve yeniden açılış öncesinde getirilen ek güvenlik önlemleri henüz yayımlanmadı. FluidTokens, bu ayrıntıların tam olay analizine dahil edileceğini söyledi.

Borç verme yeniden başladığında, etkilenen borç verenler tamamen telafi edilmiş olacak, istismar edilen piyasa yolu engellenmiş olacak ve durdurulan pozisyonlar teminatları hareket ettirilmeden geri dönecek. Geriye kalan açıklama, hatalı bir oracle değerinin kredilere yetki vermesine imkan tanıyan teknik yol olacak.