Splash trên Cardano vá lỗ hổng, nhưng 2,4 triệu ADA vẫn "bốc hơi"

Ba ngày sau sự cố khiến pool StableSwap ADA/OADA dựa trên Cardano của Splash bị rút sạch, cộng đồng nắm giữ OADA vẫn đối mặt bài toán mà việc sửa mã không thể tự giải quyết: lượng ADA trong pool đã biến mất, làm tắc nghẽn con đường thoát khỏi OADA. Trong báo cáo sự cố, Splash cho biết một tác nhân đã dùng hai giao dịch ngày 13/9 để rút 2.434.648 ADA và 1.988.222 OADA. Sau khi trừ khoản nạp 9.870 ADA của kẻ tấn công (chưa tính phí mạng), lượng ADA bị rút ròng là 2.424.778. Lỗ hổng xuất phát từ cách validator của pool tính phần dự trữ "có thể giao dịch", bằng cách lấy số dư thực trừ đi phí giao thức tích lũy. Splash cho biết thiết kế khi đó không bắt buộc dự trữ này phải luôn dương, chỉ giới hạn thay đổi phí theo một chiều (từ phía dưới) và không cưỡng chế hướng của một lệnh hoán đổi. Các thiếu sót này khiến validator vẫn chấp nhận giao dịch ngay cả khi dự trữ ADA "có thể giao dịch" đã chuyển sang âm. Theo Splash, một kiểm tra miền của dự trữ hoặc cơ chế chặn biên phí hai phía đã có thể ngăn chặn cuộc tấn công được dựng lại. Dù vậy, các bản vá chỉ đóng đường khai thác đã được ghi nhận, không thể đưa số ADA đã rời khỏi pool quay trở lại. Ngay sau khi bị rút, pool chỉ còn 10 ADA và khoảng 1,44 triệu OADA; dự trữ ADA "có thể giao dịch" ở trạng thái âm, trong khi số dư token LP không thay đổi. Tổn hại bảng cân đối này đặc biệt nghiêm trọng vì theo ảnh chụp (snapshot) ngày 13/9 của Splash, OADA không có cơ chế mua lại (redemption) ở cấp giao thức. Các địa điểm giao dịch OADA khác được liệt kê trong báo cáo cũng gần như cạn thanh khoản vào thời điểm đó, với nhiều pool chỉ còn số dư ADA ở mức một hoặc hai chữ số. Việc kẻ tấn công bán OADA còn tạo thêm ràng buộc cho nỗ lực khôi phục. Lúc 14:53 UTC ngày 13/9, một pool Minswap V2 OADA/FLDT ghi nhận 1.763.923 OADA đối ứng 45.751 FLDT. Splash cảnh báo nếu bổ sung thanh khoản ADA/OADA mới, thị trường có thể thực hiện arbitrage dựa trên lượng tồn kho này, khiến OADA chiết khấu cạnh tranh trực tiếp với bất kỳ lượng ADA mới nào được đưa vào pool khi mở lại. Kết luận của Splash: vá mã có thể chặn đường khai thác, nhưng để khôi phục "lối thoát" cho OADA cần có thanh khoản ADA hoặc cơ chế redemption, đồng thời xử lý lượng OADA tồn kho trong thị trường phụ thanh khoản mỏng. Một lần tái khởi động khả dụng vì thế đòi hỏi nhiều hơn việc chỉnh logic validator: phải bổ sung ADA cho pool hoặc bổ sung cơ chế mua lại ở giao thức, kèm phương án giải quyết lượng OADA đang treo ở các pool thứ cấp. Optim Finance cho biết ngày 13/9 rằng giao thức đã tạm dừng, phần thanh khoản còn lại đã được rút và các giao dịch hoán đổi OADA sang ADA không còn khả dụng. Trong cập nhật ngày 15/9, dự án nói đang lập chỉ mục chuỗi và tổng hợp báo cáo đầy đủ về các địa chỉ và tài sản bị ảnh hưởng để hướng tới phương án xử lý, nhưng chưa công bố việc khôi phục thanh khoản, triển khai redemption hay tái vận hành.