Cardano, Splash Havuzu Saldırısında 2,4 Milyon ADA Kaybetti

Splash'in olay raporuna göre bir aktör, 13 Eylül'de iki işlem kullanarak Cardano tabanlı ADA/OADA StableSwap havuzundan 2.434.648 ADA ve 1.988.222 OADA çekti. Saldırganın yatırdığı 9.870 ADA çıkarıldığında, ağ ücretleri öncesindeki net ADA kaybı 2.424.778 oldu. Üç gün sonra düzeltilen doğrulayıcı kodu, belgelenen saldırı yolunu kapattı, ancak OADA sahipleri hâlâ anlamlı bir çıkış yolu bulamadı.

Neden önemli

Açık, havuzun işlem yapılabilir rezervini hesaplama biçiminden kaynaklandı. Doğrulayıcı, tahakkuk eden protokol ücretlerini gerçek bakiyelerden düşüyordu, ancak rezervin pozitif kalmasını zorunlu kılmıyor, ücret değişiklikleri için üst ve alt sınır koymuyor veya takas yönünü denetlemiyordu. Splash, rezerv alanı kontrolünün ya da çift taraflı bir ücret sınırının yeniden oluşturulan saldırıyı engelleyebileceğini belirtti.

Bu kontroller yeni bir kaybı önleyebilir, ancak çekilmiş olan ADA'yı geri getiremez. Saldırının hemen ardından havuzda yalnızca 10 ADA ve yaklaşık 1,44 milyon OADA kaldı. İşlem yapılabilir ADA rezervi negatifken LP token bakiyesi değişmedi. Splash'in 13 Eylül tarihli snapshot'ı ayrıca OADA için protokol düzeyinde bir itfa mekanizması bulunmadığını belirtti. Diğer OADA platformları da neredeyse boştu ve listelenen havuzlarda yalnızca tek haneli veya çift haneli ADA bakiyeleri bulunuyordu.

Piyasa etkisi

Yeniden başlatma, doğrulayıcı güvenliğinin ötesinde ikinci bir sorunla karşı karşıya. 13 Eylül'de saat 14.53 UTC itibarıyla bir Minswap V2 OADA/FLDT havuzunda 45.751 FLDT karşılığında 1.763.923 OADA bulunuyordu. Splash, bu envanterin yeni ADA/OADA likiditesine karşı arbitrajda kullanılabileceğini ve iskontolu OADA'nın yeniden açılan havuza yatırılan taze ADA için rekabet edebileceğini söyledi.

Kullanılabilir bir toparlanma için ADA likiditesinin yenilenmesi veya bir itfa mekanizmasının yanı sıra, ikincil piyasadaki düşük OADA envanterine yönelik bir plan gerekiyor. Optim Finance, protokolünün duraklatıldığını, kalan likiditenin çekildiğini ve OADA-to-ADA takaslarının kullanılamadığını belirtti. 15 Eylül güncellemesinde, etkilenen adres ve varlıkların muhasebesini tuttuğunu ve bir çözüm üzerinde çalıştığını söyledi, ancak yenilenen likiditeyi, itfayı veya faaliyetlerin yeniden başladığını duyurmadı.