FluidTokens 在 Cardano 预言机数据源被利用后向出借人赔付

FluidTokens 已对其 Cardano 借贷协议遭遇攻击而受影响的出借人进行了赔付，并封堵了用于从隔离流动性池提取资金的智能合约。团队将此次事件归因为预言机数据源问题，而非协议验证器中的漏洞。其报告称，抵押品与其他代币头寸未被转移。

此次攻击仅限于一个借贷市场

根据现有的链上分析，攻击从 9 月 29 日 20:59 UTC 左右持续到 9 月 30 日 00:48 UTC。一个钱包执行了 57 笔交易，目标是接受该项目代币作为抵押品的隔离池。

部分被分析的交易使用了一个 FLDT 的原始单位，等同于 0.000001 枚代币，却开出了远大于其价值的贷款。该模式表明预言机数据可能存在单位不匹配，即将整枚代币的价格应用到了其最小记账单位上。

在这种情况下，智能合约在使用错误价格输入的同时，仍可能正确执行其贷款价值比规则。FluidTokens 官方仅确认事件涉及预言机数据源问题。关于单位不匹配的判断目前仍来自独立分析，直至团队发布事后分析报告。

最终被移走的金额尚未官方披露。已解码的交易至少约为 67,000 ADA，这使得目前确认的流出量处于 Cardano 原生资产的数万枚规模。

隔离池限制了影响范围

FluidTokens 是于 2022 年在 Cardano 上推出的去托管借贷协议。出借人可以创建流动性池，选择接受的抵押品，并设定利率、贷款期限与清算条件。借款人可以进入与其提供的抵押资产条款相匹配的资金池。

动态池使用预言机数据来计算抵押价值与可用借款额度。因此，本次事件使技术调查聚焦于提供给借贷合约的数据，而非由验证器执行的规则。

每个 FluidTokens 资金池都有单独设定的流动性与抵押条件。该结构阻止了错误价格输入扩散至其他借贷市场。

团队表示，没有任何抵押品或其他代币头寸被触动。暂停合约中持有的资金对于 FluidTokens 团队和攻击者均不可访问。

此次事件发生在 9 月 13 日 Splash 的 StableSwap 资金池被利用之后，尽管两起事件的报告原因不同。Splash 指出了一个验证器中缺失的校验，而 FluidTokens 则将其事件归因为借贷系统使用的外部价格数据。

FluidTokens 将于 10 月 1 日重新开放借贷

FluidTokens 将于 10 月 1 日 16:30 UTC 重新开放其借贷协议。受影响的出借人在重启前已获赔付，团队表示其已对攻击者的智能合约进行逆向工程，并永久阻断了此次攻击所使用的交易模式。

此前名为 Vacuumlabs Auditing 的 Cardano 安全团队 Invariant0 协助了此次响应。FluidTokens 公开感谢了审计方与社区成员，他们帮助追踪交易并分析了此次利用。

关于错误预言机数值的具体来源、最终被移走的金额，以及在重启前引入的额外防护措施，目前尚未公布。FluidTokens 表示这些细节将包含在其完整的事件分析中。

当借贷恢复时，受影响的出借人将得到完全弥补，被利用的市场路径将被阻断，暂停的头寸将在抵押品未被移动的情况下恢复。剩余需要披露的是，允许错误预言机数值为贷款授权的技术路径。