Cardano : Splash colmate la faille, mais 2,4 millions d"ADA restent introuvables

Trois jours après le siphonnage du pool StableSwap ADA/OADA de Splash sur Cardano, les détenteurs d"OADA restent confrontés à un problème qu"un simple correctif ne règle pas : l"ADA qui permettait une sortie significative du jeton a quitté le pool. Selon le rapport d"incident de Splash, un acteur a exécuté deux transactions le 13 septembre pour retirer 2"434"648 ADA et 1"988"22 OADA. Après déduction du dépôt de 9"870 ADA de l"attaquant, et hors frais de réseau, la ponction nette en ADA s"élève à 2"424"778. Pourquoi un patch ne suffit pas à rétablir la liquidité Le validateur du pool calculait une réserve "négociable" en retranchant les frais de protocole accumulés des soldes réels. Splash indique que le mécanisme n"exigeait pas que cette réserve reste positive, n"encadrait les variations de frais que par le bas et ne vérifiait pas le sens d"un swap. Ces contrôles manquants ont permis d"accepter une transaction alors que la réserve négociable en ADA était déjà devenue négative. D"après Splash, un contrôle du domaine de réserve ou un encadrement bilatéral des frais aurait bloqué l"attaque reconstituée. Ces corrections ferment la voie d"exploitation décrite, sans pour autant rapatrier l"ADA déjà sorti. Juste après le drain, le pool ne détenait plus que 10 ADA et environ 1,44 million d"OADA. La réserve négociable en ADA restait négative, tandis que le solde des jetons LP n"avait pas bougé. Cette dégradation est d"autant plus critique que le snapshot du 13 septembre mentionné par Splash indiquait qu"OADA ne disposait d"aucun mécanisme de remboursement au niveau du protocole. Les autres lieux de liquidité OADA cités dans le rapport étaient alors presque vides, avec des pools affichant seulement des soldes d"ADA à un ou deux chiffres. La vente d"OADA par l"attaquant ajoute une contrainte Le rapport souligne aussi l"effet de la vente d"OADA sur le marché secondaire. Le 13 septembre à 14:53 UTC, un pool Minswap V2 OADA/FLDT comptait 1"763"923 OADA pour 45"751 FLDT. Splash prévient qu"une nouvelle liquidité ADA/OADA pourrait être arbitrée contre cet inventaire, ce qui mettrait en concurrence de l"OADA décoté avec tout nouvel ADA injecté dans un pool rouvert. En pratique, stopper l"exploit par un correctif ne suffit pas : rétablir une porte de sortie pour l"OADA implique de reconstituer une liquidité en ADA ou de proposer un mécanisme de remboursement, tout en gérant l"inventaire d"OADA sur un marché secondaire très peu profond. Un redémarrage réellement utilisable nécessiterait donc bien plus qu"une logique de validateur corrigée : il faudrait réapprovisionner l"ADA, ou activer une option de redemption, et traiter le déséquilibre d"OADA sur les pools secondaires. Optim Finance a indiqué le 13 septembre que son protocole était mis en pause, que la liquidité restante avait été retirée et que les swaps OADA-vers-ADA n"étaient plus disponibles. Dans une mise à jour du 15 septembre, l"équipe a précisé indexer la chaîne et établir un inventaire complet des adresses et actifs impactés en vue d"une résolution, sans annoncer à ce stade de retour de liquidité, de mécanisme de remboursement ni de reprise des opérations.