Splash corrige un exploit en su pool StableSwap ADA/OADA de Cardano; siguen sin aparecer 2,42 millones de ADA

Splash ha corregido la vulnerabilidad documentada en su pool StableSwap ADA/OADA basado en Cardano, aunque continúan sin localizarse 2.424.778 ADA. Según el informe del incidente, un único actor ejecutó el ataque con dos transacciones el 13 de septiembre. En conjunto, las operaciones extrajeron 2.434.648 ADA y 1.988.222 OADA. El drenaje neto de ADA fue de 2.424.778 antes de comisiones de red. La compañía explicó que el validador del pool calculaba una reserva negociable restando las comisiones de protocolo acumuladas de los saldos reales. Ese diseño no exigía que la reserva se mantuviera en terreno positivo; además, solo acotaba los cambios de comisiones por abajo y no imponía la dirección del swap. Splash indicó que una comprobación del dominio de la reserva o un límite de comisiones por ambos lados habría frenado el ataque reconstruido, aunque no permitiría recuperar el ADA ya sustraído. Tras el drenaje, el pool quedó con 10 ADA y cerca de 1,44 millones de OADA. La reserva negociable de ADA pasó a ser negativa y el saldo de tokens LP no se modificó. En una instantánea del 13 de septiembre, Splash señaló que OADA no contaba con un mecanismo de canje a nivel de protocolo. En ese momento, otras plataformas con OADA mantenían saldos de ADA de una o dos cifras. A las 14:53 UTC del 13 de septiembre, el pool Minswap V2 OADA/FLDT registraba 1.763.923 OADA y 45.751 FLDT. Splash advirtió de que una entrada de liquidez fresca en ADA podría ser objeto de arbitraje frente a ese inventario de OADA, lo que podría dejar a los tenedores de OADA sin una vía de salida relevante. Un relanzamiento, añadió, requeriría reponer liquidez en ADA o incorporar un mecanismo de canje de protocolo, además de una solución para el inventario de OADA en un mercado poco profundo. Optim Finance comunicó el 13 de septiembre que su protocolo había quedado en pausa, que se retiró la liquidez remanente y que los swaps de OADA a ADA no estaban disponibles. En una actualización del 15 de septiembre, la firma indicó que estaba indexando la cadena y preparando un recuento completo de direcciones y activos afectados, con el objetivo de alcanzar una resolución. El comunicado no anunció la restauración de liquidez, canjes ni operaciones.