Splash corrige l’exploit de Cardano, mais 2 424 778 ADA restent introuvables

Splash a corrigé l’exploit documenté dans son pool StableSwap ADA/OADA basé sur Cardano, mais 2 424 778 ADA restaient introuvables. Le rapport d’incident de Splash indique qu’un acteur a utilisé deux transactions. Les transactions ont eu lieu le 13 septembre. Elles ont retiré 2 434 648 ADA. Elles ont également retiré 1 988 222 OADA. La sortie nette d’ADA s’élevait à 2 424 778 avant les frais de réseau. Splash a indiqué que le validateur du pool calculait une réserve négociable en soustrayant les frais de protocole accumulés des soldes réels. Le validateur n’exigeait pas que la réserve reste positive. Il ne limitait les variations de frais que par le bas. Il n’imposait pas non plus le sens des échanges. Splash a déclaré qu’un contrôle du domaine de la réserve ou une limite des frais dans les deux sens aurait empêché l’attaque reconstituée. Ces contrôles n’auraient toutefois pas permis de récupérer les ADA qui avaient déjà quitté le pool. Immédiatement après la sortie, le pool détenait 10 ADA. Il détenait alors environ 1,44 million d’OADA. Sa réserve d’ADA négociable était négative. Son solde de jetons LP était inchangé. Le relevé de Splash du 13 septembre indiquait qu’OADA ne disposait d’aucun mécanisme de remboursement au niveau du protocole. Les autres plateformes d’OADA ne détenaient alors que des soldes d’ADA à un ou deux chiffres. À 14:53 UTC le 13 septembre, un pool OADA/FLDT de Minswap V2 détenait 1 763 923 OADA. Le pool détenait 45 751 FLDT. Splash a déclaré que de nouveaux apports de liquidité en ADA pourraient faire l’objet d’arbitrage contre ces réserves d’OADA. Les détenteurs d’OADA pourraient ainsi se retrouver sans véritable moyen de sortir du jeton. Une relance nécessiterait de reconstituer la liquidité en ADA ou de mettre en place un mécanisme de remboursement au niveau du protocole. Il faudrait également trouver un moyen de traiter les réserves d’OADA sur ce marché peu liquide. Optim Finance a déclaré le 13 septembre que son protocole était suspendu. La liquidité restante avait été retirée. Les échanges d’OADA vers ADA étaient indisponibles. Dans une mise à jour du 15 septembre, Optim Finance a indiqué qu’il indexait la chaîne. Il dressait également un bilan complet des adresses et des actifs touchés. Il travaillait à une résolution. La mise à jour n’annonçait ni rétablissement de la liquidité, ni remboursement, ni reprise des opérations.