Cardano : Splash colmate une faille, 2,42 millions d'ADA restent introuvables

Splash a corrigé une vulnérabilité identifiée dans son pool StableSwap ADA/OADA sur Cardano, sans pour autant récupérer les fonds : 2'424'788 ADA manquent toujours. Selon le rapport d'incident de Splash, un seul acteur a exécuté deux transactions le 13 septembre. Au total, elles ont retiré 2'434'648 ADA et 1'988'222 OADA du pool. La sortie nette d'ADA s'établit à 2'424'788 ADA avant frais réseau. Splash explique que le validateur du pool calculait une "réserve négociable" en soustrayant les frais de protocole accumulés des soldes réels. Ce mécanisme n'imposait pas que la réserve reste positive, ne bornait les variations de frais que par le bas et ne contrôlait pas non plus le sens des swaps. D'après Splash, une vérification du domaine de réserve ou un encadrement des frais des deux côtés aurait permis de bloquer l'attaque reconstituée, sans toutefois restaurer les ADA déjà sortis du pool. Juste après la ponction, le pool ne détenait plus que 10 ADA, et environ 1,44 million d'OADA. La réserve d'ADA négociable était négative, tandis que le solde de jetons LP restait inchangé. Le snapshot du 13 septembre indique qu'OADA ne disposait pas de mécanisme de rachat au niveau du protocole. Les autres places OADA n'affichaient alors que des soldes en ADA à un ou deux chiffres. À 14:53 UTC le 13 septembre, le pool Minswap V2 OADA/FLDT détenait 1'763'923 OADA et 45'751 FLDT. Splash prévient qu'un apport récent de liquidité en ADA pourrait être arbitré face à cet inventaire d'OADA, ce qui risquerait de laisser les détenteurs d'OADA sans voie de sortie significative. Une relance exigerait un réapprovisionnement en liquidité ADA ou la mise en place d'un mécanisme de rachat, ainsi qu'une solution pour absorber cet inventaire OADA sur un marché peu profond. De son côté, Optim Finance a indiqué le 13 septembre que son protocole était en pause et que la liquidité restante avait été retirée, rendant les swaps OADA vers ADA indisponibles. Dans une mise à jour du 15 septembre, Optim Finance a précisé indexer la chaîne et établir un inventaire complet des adresses et actifs affectés, en vue d'une résolution. Aucune reprise de liquidité, de rachat ou d'opérations n'y a été annoncée.