Після патчу Splash на Cardano з пулу зникло 2,4 млн ADA — проблему ліквідності він не вирішив

Через три дні після того, як пул StableSwap ADA/OADA на базі Cardano від Splash був спорожнений, власники OADA зіткнулися з проблемою, яку самі лише виправлення коду не розв'язують: із пулу зникла ADA-ліквідність, що фактично була єдиним суттєвим шляхом виходу з токена. У звіті Splash про інцидент зазначено, що 13 вересня один учасник провів дві транзакції та вивів 2'434'648 ADA і 1'988'222 OADA. З урахуванням депозиту зловмисника у 9'870 ADA, але без врахування мережевих комісій, чистий відтік ADA становив 2'424'788. Пояснюючи, чому патч не дорівнює відновленню ліквідності, Splash вказує на логіку валідатора пулу. Він розраховував "торгований" резерв, віднімаючи накопичені протокольні комісії від фактичних балансів. За даними компанії, система не вимагала, щоб цей резерв залишався додатним, обмежувала зміни комісій лише знизу та не контролювала напрям свопу. Через ці відсутні перевірки валідатор міг прийняти транзакцію навіть після того, як "торгований" резерв ADA ставав від'ємним. Splash зазначила, що перевірка області резерву або двостороннє обмеження комісій зупинили б відтворену атаку. Будь-яке з таких виправлень перекриває описаний шлях експлуатації, але не повертає ADA, які вже вийшли з пулу. Одразу після виведення коштів у пулі залишалося 10 ADA та близько 1,44 млн OADA, тоді як "торгований" резерв ADA був від'ємним, а баланс LP-токенів не змінився. Ця втрата критична з огляду на знімок стану на 13 вересня: Splash вказує, що OADA не мав викупу на рівні протоколу. Інші майданчики з OADA, згадані у звіті, на той момент також майже спорожніли — у перелічених пулах залишалися лише одно- або двозначні залишки ADA. Додатковий тиск створив продаж OADA зловмисником. О 14:53 UTC 13 вересня пул Minswap V2 OADA/FLDT мав 1'763'923 OADA проти 45'751 FLDT. Splash попереджає: нову ліквідність ADA/OADA можна буде арбітражити проти цих запасів, і "дешевий" OADA конкуруватиме за будь-яку свіжу ADA, внесену до пулу після перезапуску. Висновок Splash: патч здатен закрити задокументований вектор атаки, але для відновлення реального "виходу" з OADA потрібні або нові обсяги ліквідності в ADA, або механізм викупу, а також спосіб розв'язати проблему тонкої пропозиції OADA на вторинному ринку. Тому придатний до використання перезапуск вимагатиме більшого, ніж виправлена логіка валідатора. Optim Finance 13 вересня повідомила, що її протокол призупинено, залишки ліквідності виведено, а свопи OADA'to'ADA недоступні. В оновленні від 15 вересня компанія зазначила, що індексує ланцюг і готує повний облік постраждалих адрес та активів, працюючи над розв'язанням. Водночас у цьому повідомленні не йшлося про відновлення ліквідності, викупу чи операцій.