El informe del incidente de Splash señaló que un actor utilizó dos transacciones el 13 de septiembre para retirar 2.434.648 ADA y 1.988.222 OADA de su pool StableSwap de ADA/OADA basado en Cardano. Tras restar el depósito de 9.870 ADA del atacante, el drenaje neto de ADA fue de 2.424.778 antes de las comisiones de red. Tres días después, el código corregido del validador había cerrado la vía de explotación documentada, pero los titulares de OADA seguían sin una vía de salida significativa.
Por qué importa
La vulnerabilidad se originó en la forma en que el pool calculaba su reserva negociable. El validador restaba las comisiones de protocolo acumuladas de los saldos reales, pero no exigía que la reserva siguiera siendo positiva, no imponía límites superior e inferior a los cambios de comisiones ni aplicaba la dirección del swap. Splash afirmó que una comprobación del dominio de la reserva o un límite de comisiones de dos lados habría bloqueado el ataque reconstruido.
Estos controles pueden evitar otro drenaje, pero no pueden restaurar los ADA que ya fueron retirados. Inmediatamente después, el pool tenía solo 10 ADA y unos 1,44 millones de OADA, mientras que su reserva de ADA negociable era negativa y su saldo de tokens LP no había cambiado. La instantánea de Splash del 13 de septiembre también indicaba que OADA no tenía un mecanismo de canje a nivel de protocolo. Otros mercados de OADA estaban casi vacíos, con pools cotizados que solo mantenían saldos de ADA de una o dos cifras.
Impacto en el mercado
Un relanzamiento afronta un segundo problema, además de la seguridad del validador. A las 14:53 UTC del 13 de septiembre, un pool OADA/FLDT de Minswap V2 contenía 1.763.923 OADA frente a 45.751 FLDT. Splash señaló que ese inventario podría arbitrar frente a nueva liquidez de ADA/OADA, lo que permitiría que el OADA con descuento compitiera por los nuevos ADA depositados en un pool reabierto.
Por tanto, una recuperación utilizable requiere reponer la liquidez de ADA o establecer un mecanismo de canje, además de un plan para el escaso inventario de OADA del mercado secundario. Optim Finance afirmó que su protocolo estaba pausado, que se había retirado la liquidez restante y que los swaps OADA-to-ADA no estaban disponibles. En su actualización del 15 de septiembre, indicó que estaba contabilizando las direcciones y los activos afectados mientras trabajaba en una solución, pero no anunció la restauración de la liquidez, el canje ni las operaciones.
Preguntas frecuentes
-
¿Cuántos ADA retiró el exploit de Splash?
El ataque retiró 2.434.648 ADA. Tras restar el depósito de 9.870 ADA del atacante, el drenaje neto fue de 2.424.778 ADA antes de las comisiones de red.
-
¿Qué solucionó el parche de Splash?
El parche cerró la vía de explotación documentada del validador. Splash identificó las comprobaciones del dominio de la reserva y los límites de comisiones de dos lados como controles que habrían bloqueado el ataque reconstruido.
-
¿Por qué los titulares de OADA todavía no pueden salir?
El pool perdió los ADA que proporcionaban una vía de salida significativa, y la instantánea de Splash indicaba que OADA no tenía un mecanismo de canje a nivel de protocolo. El pool restante solo tenía 10 ADA y unos 1,44 millones de OADA.
-
¿Qué podría complicar la reapertura del pool de ADA/OADA?
El escaso inventario de OADA del mercado secundario podría arbitrar frente a nueva liquidez de ADA. El 13 de septiembre, un pool OADA/FLDT de Minswap V2 tenía 1.763.923 OADA frente a 45.751 FLDT.
-
¿Qué medidas de recuperación anunció Optim Finance?
Optim Finance afirmó que el protocolo estaba pausado, que se había retirado la liquidez restante y que los swaps OADA-to-ADA no estaban disponibles. Su actualización del 15 de septiembre describió trabajos de contabilización y resolución, pero no anunció la restauración de la liquidez ni de las operaciones.
CoinDesk
CZ Binance
TheBlock
Crypto News
WuBlockchain