Splash на Cardano закрыл уязвимость, но из пула пропали 2,4 млн ADA

Спустя три дня после опустошения пула StableSwap ADA/OADA на базе Cardano пользователи OADA столкнулись с проблемой, которую одним исправлением кода не решить: из пула исчезла ADA, обеспечивавшая реальный выход из токена. В отчёте Splash об инциденте говорится, что 13 сентября один участник с помощью двух транзакций вывел 2 434 648 ADA и 1 988 222 OADA. С учётом депозита атакующего в 9 870 ADA, но до вычета сетевых комиссий, чистый отток ADA составил 2 424 778. Почему патч не равен восстановлению ликвидности Валидатор пула рассчитывал "торгуемый" резерв, вычитая накопленные протокольные комиссии из фактических балансов. По данным Splash, логика не требовала, чтобы этот резерв оставался положительным, ограничивала изменения комиссии только снизу и не контролировала направление свопа. Отсутствие этих проверок позволило валидатору принять транзакцию уже после того, как торгуемый резерв ADA стал отрицательным. Splash отмечает, что проверка домена резерва либо двустороннее ограничение комиссии остановили бы воспроизведённую атаку. Любой из этих вариантов закрывает описанный путь эксплуатации, но не возвращает ADA, уже выведенную из пула. Сразу после вывода в пуле оставалось 10 ADA и около 1,44 млн OADA, при этом торгуемый резерв ADA был отрицательным, а баланс LP-токена не изменился. Ущерб по балансу критичен: согласно снапшоту Splash на 13 сентября, у OADA не было механизма протокольного погашения. Другие площадки для OADA, перечисленные в отчёте, на тот момент также почти опустели: в указанных пулах оставались лишь одно- или двузначные остатки ADA. Продажа OADA со стороны атакующего создала дополнительное ограничение. В 14:53 UTC 13 сентября в пуле Minswap V2 OADA/FLDT находилось 1 763 923 OADA против 45 751 FLDT. Splash предупреждает: новую ликвидность ADA/OADA можно будет арбитражировать об эти запасы, из-за чего OADA со скидкой станет конкурировать за любую свежую ADA, внесённую в переоткрытый пул. Итог: патч способен закрыть уязвимость, но для восстановления возможности выхода из OADA потребуется либо пополнение ликвидности ADA, либо механизм погашения, а также решение проблемы тонкого вторичного рынка, где сосредоточены значимые запасы OADA. Optim Finance сообщила 13 сентября, что протокол поставлен на паузу, оставшаяся ликвидность выведена, а свопы OADA в ADA недоступны. В обновлении от 15 сентября компания заявила, что индексирует цепочку и готовит полный учёт затронутых адресов и активов, работая над урегулированием. О восстановлении ликвидности, погашения или операций в этом сообщении не объявлялось.