استغلال Splash يستنزف مجمع Cardano ADA/OADA

أصدر Splash Protocol تقريرا تقنيا يشرح كيف تمكن مهاجم من استنزاف مجمع StableSwap لزوج ADA/OADA في 13 سبتمبر.

عمدت Optim Finance لاحقا إلى إيقاف بروتوكولها مؤقتا، وإزالة السيولة المتبقية تحت سيطرتها، وحذرت المستخدمين من أن OADA لم يعد من الممكن مبادلته عودة إلى ADA عبر مساره المعتاد.

قالت Splash إن أي نوع آخر من المجمعات لم يتأثر. وقع الحادث ضمن بنية العقود الذكية على مستوى التطبيق ولم يعرض شبكة Cardano نفسها للخطر.

كيف تم استغلال مدقق StableSwap

كانت الثغرة في مدقق Splash المسمى stableFnPoolT2t والذي يشغل مجمع StableSwap ثنائي الأصول ADA/OADA.

كان المدقق يحسب الاحتياطيات القابلة للتداول بطرح رسوم البروتوكول المتراكمة من الرصيد الإجمالي للمجمع. لكنه لم يتحقق من بقاء الاحتياطيات الناتجة إيجابية. كما أنه افتقر إلى حد أقصى كاف لزيادات رسوم البروتوكول ولم يفرض اتجاه المبادلة المتوقع حيث يدخل أصل إلى المجمع بينما يخرج آخر.

استغل المهاجم تلك الضوابط المفقودة عبر معاملتين.

في المعاملة الأولى التي نُفذت عند 00:47:36 UTC أودع المهاجم 9,870 ADA وكمية ضئيلة من OADA. تم تسجيل ما يقرب من كامل إيداع ADA كرسوم بروتوكول ولم يُضف إلى احتياطي ADA القابل للتداول في المجمع سوى lovelace واحدة.

بعد خمس وأربعين ثانية دفعت معاملة ثانية الاحتياطي المحسوب لـ ADA القابل للتداول إلى ما دون الصفر. وبما أن ثابت StableSwap تم تقييمه باستخدام احتياطي سلبي فقد قبل المدقق معاملة أزالت كلا من ADA و OADA من المجمع.

ظل معروض رموز LP دون تغيير إذ لم تُسَك أو تُحرَق أي رموز LP أثناء الاستغلال.

قالت Splash إن أيّا من حمايتين إضافيتين كان كفيلا بإيقاف الهجوم: اشتراط بقاء الاحتياطيات القابلة للتداول إيجابية أو فرض حد أقصى على تغييرات رسوم البروتوكول المتراكمة.

ويذكر التقرير أيضا أن فرع المبادلة المنفذ طابق الكود الذي خضع للتدقيق سابقا. لم يرصد تدقيق عام 2024 غياب فحوصات رسوم البروتوكول والاحتياطي الإيجابي واتجاه المبادلة التي استُخدمت في الهجوم.

لماذا كان المجمع حاسما بالنسبة إلى OADA

OADA هو أصل اصطناعي مرتبط بعملة ADA وطوّرته Optim Finance. يمكن للمستخدمين سك OADA عبر إيداع ADA غير أن النظام لا يوفر آلية مباشرة لاسترداد OADA إلى ADA.

بدلا من ذلك يخرج المستخدمون عادة عبر مجمع StableSwap لزوج ADA/OADA على Splash. كما دعم المجمع عملية السوق الخوارزمية الخاصة بـ Optim التي أدارت السيولة لإبقاء OADA قريبا من ربطه بـ ADA.

يعزو التقرير الرسمي للحادثة الاستغلال إلى مدقق Splash. ولا يحدد ثغرة في AMO الخاصة بـ Optim ولا يصف الحادثة بأنها اختراقا لعقد تابع لـ Optim.

أدى إفراغ مجمع Splash إلى إزالة مسار الخروج الرئيسي لـ OADA والسوق المستخدمة لدعم ربطه.

بعد ذلك باع المهاجم كمية OADA التي أزالها عبر مجمع Minswap V2 OADA/FLDT. أسفرت المبادلة عن نحو 563,073 FLDT حُولت لاحقا إلى نحو 115,323 ADA.

أفادت Optim بأن المهاجم أفرغ أيضا سيولة OADA من أماكن تداول أخرى. لم تتعرض تلك البروتوكولات للاختراق عبر الخلل نفسه في المدقق. تأثرت أسواقها بعد أن كان المجمع الرئيسي على Splash قد استنفد بالفعل.

ما الذي يحدث بعد ذلك

قالت Optim إنها أوقفت بروتوكولها مؤقتا وتمت إزالة كل السيولة المتاحة. ووجّهت أي شخص يوفّر السيولة لـ OADA أو للرمز الحوكمي O الخاص بـ Optim إلى السحب فورا وحذرت المستخدمين من عدم إنشاء مراكز سيولة جديدة لـ OADA.

لم توضح Optim ما إذا كان الإيقاف يشمل كل منتج ووحدة أم يقتصر على العمليات المتصلة بـ OADA.

وضعت Splash وسم ضعف على كود StableSwap المتأثر وتتبع الأموال المرسلة إلى عناوين مرتبطة بأنظمة إيداع البورصات. وقال الفريق إنه يخطط للتواصل مع KuCoin و Gate.io بمعلومات المعاملات.

كما دعت Splash المهاجم إلى إعادة الأموال عبر تسوية قبعة بيضاء محتملة تتضمن مكافأة ومن دون تصعيد إضافي.

لم يُؤكَّد علنا حتى الآن رجوع أي أموال. ولم يعلن أي من Splash أو Optim عن برنامج تعويض أو جدول زمني للتعافي أو إصدار مدقق مُصلح.