إصلاح ثغرة في مجمع Splash على Cardano وبقاء 2.42 مليون ADA مفقودة

أعلنت Splash أنها أغلقت الثغرة الموثقة في مجمع StableSwap لزوج ADA/OADA على شبكة Cardano، إلا أن 2,424,778 من عملة ADA ما زالت غير مستردة. وبحسب تقرير الحادثة، نفّذ طرف واحد عمليتين بتاريخ 13 سبتمبر. وأسفرت العمليتان عن سحب 2,434,648 ADA إضافة إلى 1,988,222 OADA، لتبلغ حصيلة استنزاف ADA الصافية 2,424,778 قبل احتساب رسوم الشبكة. وأوضحت Splash أن مُدقّق المجمع (validator) كان يحسب "الاحتياطي القابل للتداول" عبر طرح رسوم البروتوكول المتراكمة من الأرصدة الفعلية، من دون اشتراط بقاء الاحتياطي موجباً. كما أنه قيّد تغيّرات الرسوم من جهة الحد الأدنى فقط، ولم يفرض قيوداً على اتجاه المبادلة. وقالت الشركة إن فحص "نطاق الاحتياطي" أو وضع حدود ثنائية الاتجاه للرسوم كان سيمنع الهجوم كما أُعيد بناؤه، لكنها أكدت أن هذه الضوابط لا تعيد ADA التي غادرت المجمع بالفعل. بعد الاستنزاف مباشرة، لم يتبقَّ في المجمع سوى 10 ADA، بينما احتفظ بنحو 1.44 مليون OADA. وسجّل الاحتياطي القابل للتداول لعملة ADA قيمة سالبة، في حين ظل رصيد رموز مزوّدي السيولة (LP) دون تغيير. وأشارت لقطة 13 سبتمبر التي وثّقتها Splash إلى أن OADA لا يملك آلية استرداد على مستوى البروتوكول، وأن المنصات الأخرى لتداول OADA كانت تحتفظ آنذاك بأرصدة ADA من خانة واحدة أو خانتين فقط. وفي الساعة 14:53 بالتوقيت العالمي (UTC) من يوم 13 سبتمبر، أظهر مجمع Minswap V2 لزوج OADA/FLDT احتفاظه بـ 1,763,923 OADA و45,751 FLDT. وقالت Splash إن ضخ سيولة ADA جديدة قد يفتح المجال للمراجحة مقابل مخزون OADA المذكور، ما قد يترك حاملي OADA دون مسار عملي للخروج من الرمز. وأشارت إلى أن أي إعادة إطلاق ستتطلب تجديد سيولة ADA أو توفير آلية استرداد عبر البروتوكول، إلى جانب معالجة مخزون OADA في سوق ضعيف السيولة. من جهتها، أعلنت Optim Finance في 13 سبتمبر إيقاف بروتوكولها مؤقتاً وإزالة السيولة المتبقية، مؤكدة أن مبادلات OADA إلى ADA غير متاحة. وفي تحديث بتاريخ 15 سبتمبر، قالت الشركة إنها تقوم بفهرسة السلسلة وتعدّ حصرًا كاملاً للعناوين والأصول المتضررة وتعمل على الوصول إلى حل، من دون الإعلان عن عودة السيولة أو تفعيل الاسترداد أو استئناف العمليات.