إصلاح Splash على كاردانو يسدّ ثغرة الاستغلال لكن يترك 2.4 مليون ADA مفقودة

بعد ثلاثة أيام من تفريغ مجمع StableSwap لزوج ADA/OADA على Splash المبني على كاردانو، بقيت المشكلة الأساسية قائمة أمام حاملي OADA: التصحيح البرمجي لا يعيد السيولة التي تمنحهم منفذاً عملياً للخروج من الرمز. وبحسب تقرير الحادثة الصادر عن Splash، نفّذ طرف واحد معاملتين في 13 سبتمبر لسحب 2,434,648 ADA و1,988,222 OADA. وبعد خصم إيداع المهاجم البالغ 9,870 ADA، وقبل احتساب رسوم الشبكة، بلغ صافي استنزاف ADA نحو 2,424,778. كيف حدث ذلك ولماذا لا يكفي التصحيح البرمجي ذكر Splash أن مُحقّق (validator) المجمع كان يحسب الاحتياطي "القابل للتداول" عبر طرح رسوم البروتوكول المتراكمة من الأرصدة الفعلية. ووفقاً للتقرير، لم يكن هناك شرط يلزم بقاء هذا الاحتياطي موجباً، كما كانت حدود تغيّر الرسوم مقيّدة من الأسفل فقط، ولم يكن اتجاه المبادلة مُلزماً. غياب هذه الضوابط سمح للمُحقّق بقبول معاملة بعد تحوّل احتياطي ADA القابل للتداول إلى قيمة سالبة. أوضح Splash أن فحص نطاق الاحتياطي أو وضع حدّين للرسوم (من الجانبين) كان كفيلاً بإيقاف الهجوم بصيغته المعاد بناؤها. أي من هذين التعديلين يغلق مسار الاستغلال الموثّق، لكنه لا يعيد ADA التي غادرت المجمع بالفعل. أرصدة شبه مجففة ومخارج محدودة لحاملي OADA بعد الاستنزاف مباشرة، لم يبقَ في المجمع سوى 10 ADA ونحو 1.44 مليون OADA، بينما كان احتياطي ADA القابل للتداول سالباً، وظل رصيد رموز مزوّدي السيولة (LP) دون تغيير. هذه الفجوة في الميزانية مهمة لأن لقطة 13 سبتمبر التي أشار إليها التقرير تؤكد أن OADA لا يملك آلية استرداد (redemption) على مستوى البروتوكول. كما أن القنوات الأخرى لتداول OADA المذكورة في التقرير كانت شبه فارغة في ذلك الوقت، إذ لم تكن الأحواض المدرجة تحتفظ سوى بأرصدة ADA من خانة واحدة أو خانتين. ضغط إضافي من بيع OADA ومخاطر المراجحة أضاف التقرير أن بيع المهاجم لـ OADA خلق قيداً آخر. ففي الساعة 14:53 بالتوقيت العالمي (UTC) يوم 13 سبتمبر، كان مجمع Minswap V2 لزوج OADA/FLDT يحتفظ بـ 1,763,923 OADA مقابل 45,751 FLDT. واعتبرت Splash أن أي سيولة جديدة من ADA/OADA يمكن أن تتعرض للمراجحة مقابل هذا المخزون، ما يسمح لـ OADA المُسعّر بخصم بالمنافسة على أي ADA طازج يُضخ في مجمع يُعاد فتحه. لذلك، ورغم أن التصحيح البرمجي قادر على إيقاف مسار الاستغلال الموثّق، فإن إعادة توفير "مخرج" لحاملي OADA تتطلب استعادة سيولة ADA أو توفير آلية استرداد، إضافة إلى إدارة مخزون OADA في سوق ثانوي ضعيف السيولة. وبعبارة أخرى، الإطلاق مجدداً بشكل قابل للاستخدام يحتاج ما هو أكثر من منطق مُحقّق مُصحّح؛ يحتاج إلى إعادة تغذية سيولة ADA أو آلية استرداد على مستوى البروتوكول، مع معالجة اختلال مخزون OADA في الأسواق الثانوية الهزيلة. إجراءات Optim Finance وتحديثات ما بعد الحادثة قالت Optim Finance في 13 سبتمبر إن بروتوكولها أُوقف مؤقتاً، وتمت إزالة السيولة المتبقية، وأصبحت مبادلات OADA إلى ADA غير متاحة. وفي تحديث بتاريخ 15 سبتمبر، ذكرت أنها تقوم بفهرسة السلسلة وتجميع حصر كامل للعناوين والأصول المتضررة أثناء العمل نحو حل. ولم يتضمن ذلك التحديث إعلاناً عن عودة السيولة أو إطلاق آلية استرداد أو استئناف العمليات.