Splash corrige falha em pool StableSwap no Cardano, mas 2,42 milhões de ADA seguem desaparecidos

A Splash informou que corrigiu uma exploração já documentada em seu pool StableSwap ADA/OADA baseado em Cardano, mas afirmou que 2.424.778 ADA ainda permanecem desaparecidos. Segundo o relatório do incidente, um único agente executou dois lançamentos em 13 de setembro. As transações retiraram 2.434.648 ADA e 1.988.222 OADA do pool. Consideradas as taxas de rede, a drenagem líquida de ADA foi de 2.424.778. A Splash explicou que o validador do pool calculava a reserva negociável ao subtrair as taxas de protocolo acumuladas dos saldos reais. Esse validador não exigia que a reserva permanecesse positiva, limitava as alterações de taxas apenas por baixo e também não impunha a direção do swap. A empresa afirmou que uma verificação de domínio de reserva ou um limite bilateral para as taxas teria bloqueado o ataque reconstruído, embora nenhuma dessas medidas recuperasse o ADA que já havia saído do pool. Logo após a drenagem, o pool ficou com 10 ADA e cerca de 1,44 milhão de OADA. A reserva negociável de ADA estava negativa, e o saldo de tokens de LP permaneceu inalterado. No snapshot de 13 de setembro, a Splash indicou que o OADA não contava com resgate em nível de protocolo. Naquele momento, outros mercados de OADA tinham apenas saldos de ADA de um ou dois dígitos. Às 14:53 UTC de 13 de setembro, um pool Minswap V2 OADA/FLDT registrava 1.763.923 OADA e 45.751 FLDT. A Splash avaliou que uma nova oferta de liquidez em ADA poderia ser arbitrada contra esse estoque de OADA, o que poderia deixar detentores de OADA sem uma rota de saída relevante do token. De acordo com a Splash, um relançamento exigiria recomposição de liquidez em ADA ou a criação de um mecanismo de resgate no protocolo, além de uma forma de lidar com o estoque de OADA em um mercado com pouca profundidade. A Optim Finance informou em 13 de setembro que seu protocolo foi pausado, que a liquidez remanescente havia sido removida e que swaps de OADA para ADA estavam indisponíveis. Em atualização de 15 de setembro, a empresa disse que estava indexando a blockchain e consolidando uma contabilidade completa dos endereços e ativos afetados, trabalhando em direção a uma resolução. O comunicado não mencionou restauração de liquidez, resgate ou retomada das operações.