Laut dem Incident-Report von Splash nutzte ein Akteur am 13. September zwei Transaktionen, um 2.434.648 ADA und 1.988.222 OADA aus dem Cardano-basierten ADA/OADA StableSwap-Pool abzuziehen. Nach Abzug der Einzahlung des Angreifers in Höhe von 9.870 ADA belief sich der Nettoabfluss vor Netzwerkgebühren auf 2.424.778 ADA. Drei Tage später hatte korrigierter Validator-Code den dokumentierten Exploit-Pfad geschlossen, doch OADA-Haltern fehlte weiterhin ein sinnvoller Ausstiegsweg.
Warum das wichtig ist
Die Schwachstelle entstand durch die Berechnung der handelbaren Reserve im Pool. Der Validator zog aufgelaufene Protokollgebühren von den tatsächlichen Guthaben ab, verlangte jedoch weder, dass die Reserve positiv blieb, noch setzte er eine obere und untere Grenze für Gebührenänderungen oder erzwang eine Swap-Richtung. Splash erklärte, eine Prüfung des zulässigen Reservenbereichs oder eine beidseitige Gebührenbegrenzung hätte den rekonstruierten Angriff verhindert.
Diese Kontrollen können einen weiteren Abfluss verhindern, aber die bereits entfernten ADA nicht zurückführen. Direkt danach hielt der Pool nur noch 10 ADA und rund 1,44 Millionen OADA, während seine handelbare ADA-Reserve negativ war und der Bestand an LP-Token unverändert blieb. Der Snapshot von Splash vom 13. September besagte außerdem, dass es für OADA keine Rückzahlung auf Protokollebene gab. Andere OADA-Handelsplätze waren nahezu leer. Die dort gelisteten Pools hielten nur ein- oder zweistellige ADA-Bestände.
Auswirkungen auf den Markt
Ein Neustart steht vor einem zweiten Problem neben der Sicherheit des Validators. Am 13. September um 14:53 UTC hielt ein Minswap-V2-OADA/FLDT-Pool 1.763.923 OADA gegenüber 45.751 FLDT. Splash erklärte, dieser Bestand könne gegen neue ADA/OADA-Liquidität arbitragefähig sein, sodass mit Abschlag gehandelte OADA um frische ADA konkurrieren könnte, die in einen wiedereröffneten Pool eingebracht werden.
Eine nutzbare Erholung erfordert daher aufgefüllte ADA-Liquidität oder einen Rückzahlungsmechanismus sowie einen Plan für die geringen OADA-Bestände im Sekundärmarkt. Optim Finance erklärte, sein Protokoll sei pausiert worden, die verbleibende Liquidität sei entfernt und OADA-zu-ADA-Swaps seien nicht verfügbar. In seinem Update vom 15. September teilte das Unternehmen mit, es erfasse betroffene Adressen und Vermögenswerte und arbeite an einer Lösung. Wiederhergestellte Liquidität, Rückzahlungen oder die Wiederaufnahme des Betriebs wurden jedoch nicht angekündigt.
Häufig gestellte Fragen
-
Wie viel ADA wurden durch den Splash-Exploit abgezogen?
Der Angriff entfernte 2.434.648 ADA. Nach Abzug der Einzahlung des Angreifers von 9.870 ADA lag der Nettoabfluss vor Netzwerkgebühren bei 2.424.778 ADA.
-
Was wurde durch den Patch von Splash behoben?
Der Patch schloss den dokumentierten Exploit-Pfad im Validator. Splash nannte Prüfungen des zulässigen Reservenbereichs und beidseitige Gebührenbegrenzungen als Kontrollen, die den rekonstruierten Angriff verhindert hätten.
-
Warum können OADA-Halter weiterhin nicht aussteigen?
Der Pool verlor die ADA, die einen sinnvollen Ausstiegsweg ermöglichten, und laut dem Snapshot von Splash gab es für OADA keine Rückzahlung auf Protokollebene. Im verbleibenden Pool lagen nur 10 ADA und rund 1,44 Millionen OADA.
-
Was könnte die Wiedereröffnung des ADA/OADA-Pools erschweren?
Geringe OADA-Bestände im Sekundärmarkt könnten gegen frische ADA-Liquidität arbitragiert werden. Ein Minswap-V2-OADA/FLDT-Pool hielt am 13. September 1.763.923 OADA gegenüber 45.751 FLDT.
-
Welche Schritte zur Erholung kündigte Optim Finance an?
Optim Finance erklärte, das Protokoll sei pausiert, die verbleibende Liquidität entfernt und OADA-zu-ADA-Swaps seien nicht verfügbar. Das Update vom 15. September beschrieb Arbeiten zur Erfassung der Auswirkungen und zur Lösungsfindung, kündigte aber weder wiederhergestellte Liquidität noch die Wiederaufnahme des…
CoinDesk
TheBlock