Splash su Cardano corregge l'exploit, ma restano fuori 2,4 milioni di ADA

A tre giorni dall'attacco che ha prosciugato il pool StableSwap ADA/OADA basato su Cardano di Splash, i detentori di OADA restano di fronte a un problema che una semplice correzione del codice non risolve: nel pool non c'è più l'ADA necessario a garantire un'uscita significativa dal token. Nel report sull'incidente, Splash riferisce che un singolo attore ha utilizzato due transazioni il 13 settembre per prelevare 2.434.648 ADA e 1.988.222 OADA. Al netto del deposito dell'attaccante pari a 9.870 ADA, ma prima delle fee di rete, il drenaggio di ADA ammonta a 2.424.778. Perché la patch non basta a ripristinare la liquidità Il validator del pool calcolava una riserva "negoziabile" sottraendo le fee di protocollo maturate dai saldi reali. Secondo Splash, il sistema non imponeva che tale riserva restasse positiva, limitava le variazioni delle fee solo verso il basso e non verificava la direzione dello swap. Queste verifiche mancanti hanno permesso al validator di accettare una transazione anche dopo che la riserva negoziabile di ADA era scesa in territorio negativo. Splash sostiene che un controllo del dominio della riserva o un vincolo sulle fee su entrambi i lati avrebbe impedito l'attacco ricostruito. Una delle due modifiche chiuderebbe il percorso di exploit descritto. Nessuna delle due riporterebbe nel pool l'ADA già uscita. Subito dopo il drenaggio, nel pool risultavano 10 ADA e circa 1,44 milioni di OADA; la riserva negoziabile di ADA era negativa e il saldo dei token LP non era cambiato. L'impatto sul bilancio è rilevante anche perché, secondo lo snapshot del 13 settembre citato da Splash, OADA non prevedeva un meccanismo di rimborso a livello di protocollo. Le altre sedi di scambio OADA menzionate nel report erano quasi vuote nello stesso momento: i pool elencati disponevano di saldi in ADA a una o due cifre. L'ulteriore vincolo della vendita di OADA La vendita di OADA da parte dell'attaccante ha creato un'altra pressione sul mercato. Alle 14:53 UTC del 13 settembre, un pool Minswap V2 OADA/FLDT conteneva 1.763.923 OADA contro 45.751 FLDT. Splash osserva che nuova liquidità ADA/OADA potrebbe essere soggetta ad arbitraggio rispetto a quell'inventario, consentendo a OADA acquistato a sconto di competere per qualsiasi nuovo ADA immesso in un pool riaperto. In sintesi, una patch può bloccare il percorso di exploit documentato, ma per ripristinare un'uscita praticabile da OADA servono anche liquidità in ADA o un meccanismo di redemption e una gestione dell'inventario OADA presente in un mercato secondario molto sottile. Un rilancio realmente utilizzabile richiederebbe quindi più della sola correzione della logica del validator: servirebbe nuova liquidità ADA o un rimborso via protocollo, oltre a una soluzione per l'eccesso di OADA nei pool secondari poco profondi. Optim Finance ha comunicato il 13 settembre che il proprio protocollo era in pausa, la liquidità residua era stata rimossa e gli swap da OADA ad ADA non erano disponibili. In un aggiornamento del 15 settembre ha dichiarato di stare indicizzando la chain e compilando un rendiconto completo di indirizzi e asset coinvolti, lavorando a una risoluzione. Nell'aggiornamento non venivano annunciati ripristino della liquidità, meccanismi di redemption o ripresa dell'operatività.