Cardano perde 2,4 milhões de ADA num ataque ao Splash

O relatório de incidente da Splash indicou que um único interveniente usou duas transações a 13 de setembro para retirar 2.434.648 ADA e 1.988.222 OADA do seu pool StableSwap de ADA/OADA baseado em Cardano. Depois de descontado o depósito de 9.870 ADA do atacante, o escoamento líquido de ADA foi de 2.424.778, antes das taxas de rede. Três dias depois, o código corrigido do validador tinha encerrado o vetor de exploração documentado, mas os detentores de OADA continuavam sem uma saída viável.

Porque é importante

A falha resultava da forma como o pool calculava a sua reserva negociável. O validador subtraía as taxas de protocolo acumuladas aos saldos reais, mas não exigia que a reserva permanecesse positiva, não impunha limites superior e inferior às alterações das taxas, nem controlava a direção dos swaps. A Splash afirmou que uma verificação do domínio da reserva ou um limite bilateral para as taxas teria impedido o ataque reconstruído.

Estes controlos podem evitar um novo escoamento, mas não conseguem recuperar os ADA já retirados. Imediatamente depois, o pool tinha apenas 10 ADA e cerca de 1,44 milhões de OADA, enquanto a sua reserva negociável de ADA era negativa e o saldo de tokens LP permanecia inalterado. O snapshot da Splash de 13 de setembro também indicava que o OADA não tinha resgate ao nível do protocolo. Outros locais de negociação de OADA estavam quase vazios, com os pools listados a deter apenas saldos de ADA de um ou dois dígitos.

Impacto no mercado

Um relançamento enfrenta um segundo problema, além da segurança do validador. Às 14:53 UTC de 13 de setembro, um pool OADA/FLDT da Minswap V2 detinha 1.763.923 OADA contra 45.751 FLDT. A Splash afirmou que esse inventário poderia ser alvo de arbitragem contra nova liquidez ADA/OADA, permitindo que OADA com desconto concorresse pelos novos ADA depositados num pool reaberto.

Uma recuperação funcional exige, portanto, liquidez em ADA reposta ou um mecanismo de resgate, além de um plano para o escasso inventário de OADA no mercado secundário. A Optim Finance afirmou que o seu protocolo estava pausado, que a liquidez restante tinha sido removida e que os swaps de OADA para ADA estavam indisponíveis. Na sua atualização de 15 de setembro, indicou que estava a contabilizar os endereços e ativos afetados enquanto trabalhava numa solução, mas não anunciou liquidez, resgates ou operações restaurados.