Splash Açığı Cardano ADA/OADA Havuzunu Boşalttı

Splash Protocol, bir saldırganın 13 Eylül'de ADA/OADA StableSwap havuzunu nasıl boşalttığını açıklayan bir teknik rapor yayımladı.

Ardından Optim Finance protokolünü duraklattı, kontrolü altındaki kalan likiditeyi kaldırdı ve kullanıcıları OADA'nın artık normal yolu üzerinden ADA ile geri takas edilemeyeceği konusunda uyardı.

Splash başka havuz türlerinin etkilenmediğini söyledi. Olay uygulama düzeyi akıllı sözleşme altyapısı içinde gerçekleşti ve Cardano ağının kendisini tehlikeye atmadı.

StableSwap Doğrulayıcısı Nasıl İstismar Edildi

Zafiyet, iki varlıklı ADA/OADA StableSwap havuzunu çalıştıran Splash stableFnPoolT2t doğrulayıcısında yer alıyordu.

Doğrulayıcı, işlem yapılabilir rezervleri havuzun toplam bakiyesinden birikmiş protokol ücretlerini çıkararak hesaplıyordu. Ancak ortaya çıkan rezervlerin pozitif kaldığını doğrulamıyordu. Ayrıca protokol ücretlerindeki artışlara yeterli bir üst sınır getirmiyor ve bir varlığın havuza girerken diğerinin çıktığı beklenen takas yönünü zorunlu kılmıyordu.

Saldırgan bu eksik kontrolleri iki işlem boyunca istismar etti.

İlk işlemde 00:47:36 UTC saatinde, saldırgan 9,870 ADA ve asgari miktarda OADA yatırdı. ADA mevduatının neredeyse tamamı protokol ücreti olarak kaydedildi, havuzun işlem yapılabilir ADA rezervine yalnızca bir lovelace eklendi.

Kırk beş saniye sonra, ikinci bir işlem hesaplanan işlem yapılabilir ADA rezervini sıfırın altına itti. StableSwap değişmezi negatif rezerv kullanılarak değerlendirildiği için, doğrulayıcı hem ADA hem de OADA'yı havuzdan çıkaran bir işlemi kabul etti.

LP token arzı değişmeden kaldı, sömürü sırasında hiçbir LP token basılmadı ya da yakılmadı.

Splash, iki ek korumadan herhangi birinin saldırıyı durduracağını söyledi: işlem yapılabilir rezervlerin pozitif kalmasını zorunlu kılmak ya da birikmiş protokol ücretlerindeki değişimlere üst sınır koymak.

Rapor ayrıca yürütülen takas dalının daha önce denetlenen kodla eşleştiğini belirtiyor. 2024 denetimi saldırıda kullanılan eksik protokol ücreti, pozitif rezerv ve takas yönü kontrollerini tespit etmedi.

Havuz OADA İçin Neden Kritikti

OADA, Optim Finance tarafından geliştirilen ADA sabitli bir sentetik varlıktır. Kullanıcılar ADA yatırarak OADA basabilir, ancak sistem OADA'nın yeniden ADA ile değiştirilmesi için doğrudan bir mekanizma sağlamaz.

Bunun yerine kullanıcılar normalde Splash üzerindeki ADA/OADA StableSwap havuzu üzerinden çıkar. Havuz ayrıca OADA'yı ADA çıpasına yakın tutmak için likiditeyi yöneten Optim Algorithmic Market Operation mekanizmasını da destekliyordu.

Resmi olay raporu sömürüyü Splash doğrulayıcısına atfediyor. Optim AMO bileşeninde bir zafiyet tanımlamıyor ya da olayı bir Optim sözleşme hacki olarak nitelendirmiyor.

Splash havuzunun boşalması OADA'nın birincil çıkış yolunu ve pegini desteklemek için kullanılan piyasayı ortadan kaldırdı.

Saldırgan daha sonra çıkarılan OADA'yı bir Minswap V2 OADA/FLDT havuzu üzerinden sattı. Bu takas yaklaşık 563,073 FLDT üretti ve bu daha sonra yaklaşık 115,323 ADA miktarına dönüştürüldü.

Optim, saldırganın diğer ticaret mecralarındaki OADA likiditesini de boşalttığını bildirdi. Bu protokoller aynı doğrulayıcı kusuru yoluyla tehlikeye atılmadı. Piyasaları ana Splash havuzu zaten boşaltıldıktan sonra etkilendi.

Bundan Sonra Ne Olacak

Optim, protokolünün duraklatıldığını ve mevcut tüm likiditenin kaldırıldığını söyledi. OADA ya da Optim yönetişim token O için likidite sağlayan herkese derhal çekilmelerini bildirdi ve kullanıcılara yeni OADA likidite pozisyonları oluşturmamaları konusunda uyarıda bulundu.

Optim, duraklamanın tüm ürün ve modülleri mi yoksa yalnızca OADA ile bağlantılı işlemleri mi kapsadığını netleştirmedi.

Splash etkilenen StableSwap kodunu zafiyetli olarak işaretledi ve borsa para yatırma sistemleriyle bağlantılı adreslere gönderilen fonları izliyor. Ekip, işlem bilgileriyle KuCoin ve Gate.io ile iletişime geçmeyi planladığını söyledi.

Splash ayrıca ödül içeren ve daha fazla tırmanmaya yol açmayacak olası bir white hat çözümüyle fonları iade etmeye davet etti.

Herhangi bir fonun iade edildiği kamuoyuna doğrulanmadı. Ne Splash ne de Optim bir geri ödeme programı, toparlanma zaman çizelgesi ya da düzeltilmiş doğrulayıcı sürümü duyurdu.