Splash vá lỗ hổng trong pool StableSwap ADA/OADA trên Cardano, 2,42 triệu ADA vẫn chưa được thu hồi

Splash cho biết đã triển khai bản vá đối với lỗ hổng đã được ghi nhận trong pool StableSwap ADA/OADA xây dựng trên Cardano, nhưng 2.424.778 ADA vẫn đang thất lạc. Theo báo cáo sự cố của Splash, một tác nhân đã thực hiện hai giao dịch vào ngày 13/9. Hai giao dịch này rút tổng cộng 2.434.648 ADA và 1.988.222 OADA khỏi pool. Tính theo số rút ròng trước phí mạng, lượng ADA bị rút là 2.424.778. Splash giải thích bộ xác thực (validator) của pool tính "dự trữ có thể giao dịch" bằng cách lấy số dư thực trừ đi phần phí giao thức đã tích lũy. Cơ chế này không yêu cầu dự trữ phải luôn dương, chỉ giới hạn biến động phí theo một chiều (từ dưới lên) và cũng không ép buộc hướng hoán đổi (swap direction). Splash nhận định nếu có kiểm tra "reserve-domain" hoặc áp dụng giới hạn phí hai chiều, cuộc tấn công tái dựng đã có thể bị chặn; dù vậy, các biện pháp này không thể khôi phục số ADA đã rời khỏi pool. Ngay sau khi bị rút, pool chỉ còn 10 ADA và khoảng 1,44 triệu OADA; dự trữ ADA có thể giao dịch ở trạng thái âm. Số dư token LP không thay đổi. Ảnh chụp (snapshot) ngày 13/9 của Splash cũng cho biết OADA không có cơ chế đổi trả (redemption) ở cấp giao thức. Cùng thời điểm, các địa điểm giao dịch OADA khác chỉ nắm số dư ADA ở mức một hoặc hai chữ số. Đến 14:53 UTC ngày 13/9, một pool Minswap V2 OADA/FLDT ghi nhận 1.763.923 OADA và 45.751 FLDT. Splash cảnh báo nếu có thêm thanh khoản ADA mới, thị trường có thể thực hiện arbitrage dựa trên lượng tồn OADA này, khiến người nắm giữ OADA thiếu một lối thoát có ý nghĩa khỏi token. Để tái khởi động, dự án sẽ cần bổ sung thanh khoản ADA hoặc triển khai cơ chế redemption ở cấp giao thức, đồng thời phải có phương án xử lý lượng OADA trong điều kiện thị trường mỏng. Optim Finance cho biết ngày 13/9 họ đã tạm dừng giao thức, phần thanh khoản còn lại đã được rút và hoán đổi OADA sang ADA không khả dụng. Trong cập nhật ngày 15/9, Optim Finance nói đang tiến hành lập chỉ mục chuỗi và tổng hợp đối soát đầy đủ các địa chỉ cùng tài sản bị ảnh hưởng, hướng tới một phương án giải quyết. Bản cập nhật không đề cập việc khôi phục thanh khoản, redemption hay hoạt động vận hành.