Cardano, Splash corregge la falla nel pool StableSwap ADA/OADA: risultano ancora mancanti 2,42 milioni di ADA

Splash ha corretto la vulnerabilità già documentata nel proprio pool StableSwap ADA/OADA basato su Cardano, ma restano mancanti 2.424.778 ADA. Nel report sull'incidente, la piattaforma indica che l'azione è stata condotta da un singolo soggetto tramite due transazioni, entrambe datate 13 settembre. Secondo la ricostruzione, le due operazioni hanno prelevato 2.434.648 ADA e 1.988.222 OADA. La perdita netta di ADA è stata pari a 2.424.778 prima delle commissioni di rete. Splash attribuisce l'exploit al funzionamento del validatore del pool: la riserva negoziabile veniva calcolata sottraendo le fee di protocollo maturate dai saldi reali, senza imporre che tale riserva rimanesse positiva. Il sistema limitava le variazioni delle commissioni solo inferiormente e non applicava vincoli sulla direzione dello swap. A detta di Splash, un controllo sul dominio della riserva o un limite bidirezionale alle fee avrebbe bloccato l'attacco ricostruito; tali verifiche non avrebbero però recuperato gli ADA già usciti dal pool. Subito dopo il drenaggio, il pool deteneva 10 ADA e circa 1,44 milioni di OADA. La riserva negoziabile in ADA risultava negativa. Il saldo dei token LP è rimasto invariato. Uno snapshot del 13 settembre indica inoltre che OADA non disponeva di un meccanismo di rimborso a livello di protocollo. Nello stesso momento, altre venue su OADA mostravano saldi in ADA solo a una o due cifre. Alle 14:53 UTC del 13 settembre, un pool Minswap V2 OADA/FLDT riportava 1.763.923 OADA e 45.751 FLDT. Splash avverte che nuova liquidità in ADA potrebbe essere oggetto di arbitraggio contro quell'inventario di OADA, lasciando i detentori di OADA senza un canale di uscita significativo dal token. Un eventuale rilancio richiederebbe il ripristino della liquidità in ADA o l'introduzione di un meccanismo di rimborso, oltre a una soluzione per gestire l'inventario OADA in un mercato poco profondo. Optim Finance ha comunicato il 13 settembre che il proprio protocollo era in pausa, che la liquidità residua era stata rimossa e che gli swap da OADA ad ADA non erano disponibili. In un aggiornamento del 15 settembre, Optim Finance ha dichiarato di stare indicizzando la chain e di compilare una rendicontazione completa degli indirizzi e degli asset coinvolti, lavorando a una soluzione. L'update non ha annunciato il ripristino di liquidità, rimborsi o operatività.