Cardano上のSplash、ADA/OADAプールの脆弱性を修正　未回収ADAは242万超

CardanoベースのADA/OADA StableSwapプールを運営するSplashは、既知の脆弱性を修正したと発表した。一方で、2,424,778 ADAが依然として所在不明のままだという。 同社のインシデント報告によると、攻撃者は9月13日に2件の取引を実行。プールから2,434,648 ADAと1,988,222 OADAが引き出され、ネットワーク手数料控除前の純流出額は2,424,778 ADAとなった。 原因についてSplashは、プールのバリデーターが実残高から累積したプロトコル手数料を差し引いて"取引可能な準備金"を算出していたものの、その準備金が正の値を維持する要件がなかったと説明。手数料変動は下限側のみが制約され、スワップ方向の検証も実装されていなかったという。準備金ドメインのチェック、または手数料の両側（上下）を制約する仕組みがあれば、今回再現された攻撃は防げた可能性が高い。ただし、すでに流出したADAを戻すものではないとしている。 流出直後、プールの残高はADAが10、OADAがおよそ144万。取引可能なADA準備金はマイナスとなり、LPトークン残高は変化しなかった。Splashの9月13日時点のスナップショットでは、OADAにプロトコルレベルの償還（redemption）機能はなく、他のOADA取引先も当時のADA残高は一桁〜二桁にとどまっていた。 9月13日14:53（UTC）時点で、Minswap V2のOADA/FLDTプールには1,763,923 OADAと45,751 FLDTが存在。Splashは、新規のADA流動性が供給された場合、このOADA在庫を相手に裁定取引が起き得ると指摘する。結果として、OADA保有者が実質的な出口を失うリスクがあるという。 再ローンチには、ADA流動性の補充またはプロトコル償還メカニズムの導入が必要になる見通しに加え、薄い市場のOADA在庫への対処策も求められる。 関連してOptim Financeは9月13日、プロトコルを停止し、残存流動性を引き上げたと発表。OADAからADAへのスワップは利用不能とした。9月15日の更新では、チェーンのインデックス作業と影響を受けたアドレスおよび資産の全体精算を進め、解決に向けて対応中と説明したが、流動性や償還、運用再開の復旧については言及がなかった。