Iskorištavanje u Splashu isušilo Cardano ADA/OADA likvidnosni fond

Splash Protocol objavio je tehničko izvješće u kojem objašnjava kako je napadač 13. rujna isušio ADA/OADA StableSwap fond.

Optim Finance je potom pauzirao svoj protokol, uklonio preostalu likvidnost pod svojom kontrolom i upozorio korisnike da se OADA više ne može zamijeniti natrag u ADA kroz uobičajeni kanal.

Splash je naveo da druge vrste fondova nisu bile pogođene. Incident se dogodio unutar aplikacijske infrastrukture pametnih ugovora i nije ugrozio samu Cardano mrežu.

Kako je iskorišten StableSwap validator

Ranjivost se nalazila u Splashovu validatoru stableFnPoolT2t, koji je pokretao ADA/OADA StableSwap fond s dva sredstva.

Validator je izračunavao rezerve za trgovanje oduzimanjem akumuliranih naknada protokola od ukupnog stanja fonda. Međutim, nije provjeravao da rezultirajuće rezerve ostanu pozitivne. Također nije imao dovoljan gornji limit na povećanja naknada protokola i nije nametao očekivani smjer zamjene, pri čemu jedno sredstvo ulazi u fond dok drugo izlazi.

Napadač je iskoristio te izostale kontrole kroz dvije transakcije.

U prvoj transakciji, izvršenoj u 00:47:36 UTC, napadač je položio 9,870 ADA i minimalnu količinu OADA. Gotovo cijeli ADA polog evidentiran je kao naknada protokola, ostavljajući samo jedan lovelace dodan u rezervu za trgovanje ADA u fondu.

Četrdeset pet sekundi kasnije, druga transakcija gurnula je izračunatu rezervu za trgovanje ADA ispod nule. Budući da je StableSwap invarijanta bila evaluirana s negativnom rezervom, validator je prihvatio transakciju koja je uklonila i ADA i OADA iz fonda.

Opskrba LP tokena ostala je nepromijenjena, pri čemu tijekom napada nisu iskovani niti spaljeni LP tokeni.

Splash je naveo da bi bilo koja od dviju dodatnih zaštita zaustavila napad: zahtijevanje da rezerve za trgovanje ostanu pozitivne ili nametanje gornjeg ograničenja na promjene akumuliranih naknada protokola.

Izvješće također navodi da je izvršena grana zamjene odgovarala prethodno revidiranom kodu. Revizija iz 2024. nije identificirala izostale provjere naknade protokola, pozitivnih rezervi i smjera zamjene koje su iskorištene u napadu.

Zašto je fond bio ključan za OADA

OADA je sintetičko sredstvo vezano uz ADA koje je razvio Optim Finance. Korisnici mogu kovati OADA polaganjem ADA, ali sustav ne pruža izravan mehanizam za otkup OADA natrag u ADA.

Umjesto toga, korisnici uobičajeno izlaze kroz ADA/OADA StableSwap fond na Splashu. Fond je također podržavao Optimov Algorithmic Market Operation, koji je upravljao likvidnošću kako bi OADA ostala blizu svom paritetu s ADA.

Službeno izvješće o incidentu pripisuje eksploataciju Splash validatoru. Ne identificira ranjivost u Optimovu AMO niti opisuje incident kao hakiranje Optimovih ugovora.

Isušivanje Splash fonda uklonilo je primarni izlazni put za OADA i tržište koje se koristilo za održavanje njezina pariteta.

Napadač je potom prodao uklonjenu OADA kroz Minswap V2 OADA/FLDT fond. Zamjena je proizvela približno 563,073 FLDT, koji je kasnije pretvoren u približno 115,323 ADA.

Optim je izvijestio da je napadač također ispraznio OADA likvidnost s drugih trgovačkih mjesta. Ti protokoli nisu bili kompromitirani istom greškom u validatoru. Njihova su tržišta bila pogođena nakon što je glavni Splash fond već bio ispražnjen.

Što slijedi

Optim je naveo da je njegov protokol pauziran i da je sva dostupna likvidnost uklonjena. Uputili su sve koji pružaju likvidnost za OADA ili Optimov upravljački token O da je odmah povuku te upozorili korisnike da ne otvaraju nove OADA pozicije likvidnosti.

Optim nije pojasnio obuhvaća li pauza svaki proizvod i modul ili samo operacije povezane s OADA.

Splash je označio pogođeni StableSwap kod kao ranjiv i prati sredstva poslana na adrese povezane sa sustavima depozita burzi. Tim je rekao da planira kontaktirati KuCoin i Gate.io s informacijama o transakcijama.

Splash je također pozvao napadača da vrati sredstva kroz mogući white hat dogovor koji uključuje nagradu i bez daljnje eskalacije.

Javno nije potvrđeno da su ikakva sredstva vraćena. Ni Splash ni Optim nisu najavili program obeštećenja, vremenski plan oporavka niti izdavanje ispravljenog validatora.