Splash закрив уразливість у пулі ADA/OADA на Cardano, але зниклими залишаються 2,42 млн ADA

Проєкт Splash повідомив, що усунув раніше задокументовану уразливість у своєму пулі StableSwap ADA/OADA на базі Cardano, але 2 424 778 ADA досі не повернуто. У звіті про інцидент зазначено, що один учасник провів дві транзакції 13 вересня. У результаті з пулу було виведено 2 434 648 ADA та 1 988 222 OADA. Чистий відтік ADA становив 2 424 778 до врахування мережевих комісій. За поясненням Splash, валідатор пулу визначав "торговий резерв", віднімаючи нараховані протокольні комісії від фактичних балансів. При цьому логіка не вимагала, щоб резерв залишався додатним: зміни комісій обмежувалися лише знизу, а напрям свопу не перевірявся. У Splash наголосили, що перевірка домену резерву або двостороннє обмеження комісій зупинили б відтворену атаку, але не повернули б ADA, які вже залишили пул. Одразу після відтоку в пулі залишалося 10 ADA та близько 1,44 млн OADA. Торговий резерв ADA був від'ємним, баланс LP-токенів не змінився. Знімок станом на 13 вересня, за даними Splash, показав відсутність протокольного викупу OADA. На інших майданчиках з OADA тоді зберігалися лише одно- або двозначні залишки ADA. О 14:53 UTC 13 вересня в пулі Minswap V2 OADA/FLDT було 1 763 923 OADA та 45 751 FLDT. У Splash попередили, що нову ліквідність ADA можна буде арбітражити проти цього запасу OADA, що потенційно залишить власників OADA без реального способу вийти з токена. Для перезапуску, за оцінкою Splash, потрібні або поповнена ліквідність ADA, або механізм протокольного викупу, а також рішення щодо запасів OADA на тонкому ринку. Optim Finance 13 вересня повідомила про призупинення протоколу та виведення залишкової ліквідності, а обміни OADA на ADA стали недоступними. В оновленні від 15 вересня компанія заявила, що індексує ланцюг і готує повний облік постраждалих адрес та активів, працюючи над врегулюванням. Відновлення ліквідності, запуск викупу або поновлення операцій не анонсувалися.