Raydium หนึ่งในแพลตฟอร์มแลกเปลี่ยนแบบกระจายศูนย์ที่ใหญ่ที่สุดของ Solana เปิดเผยการถูกโจมตีในโปรแกรม Automated Market Maker เวอร์ชัน 3 รุ่นเก่า ซึ่งขโมยเงินประมาณ 1.34 ล้านดอลลาร์สหรัฐจากห้ากองทุนสภาพคล่องที่เลิกใช้แล้ว การโจมตีมุ่งเป้าไปที่กองทุนที่ถูกเลิกใช้งานตั้งแต่ปี 2021 หมายความว่าไม่มีผู้ใช้งานที่ใช้งานอยู่หรืออินเทอร์เฟซของ Raydium รุ่นปัจจุบันได้รับผลกระทบ
อะไรถูกนำไปและอย่างไร
สินทรัพย์ที่ถูกดึงออกประกอบด้วย RAY ประมาณ 150,177 โทเค็น, SOL 5,603 โทเค็น และ USDC ประมาณ 893,700 โทเค็น กลุ่มที่ได้รับผลกระทบห้ากลุ่มคือ Sollet USDT-RAY, Sollet ETH-RAY, SRM-RAY, USDC-RAY และ RAY-SOL ซึ่งทั้งหมดได้รับการเลิกใช้งานหลังจากโปรโตคอล Serum ถูกเลิกดำเนินการในปี 2021
สาเหตุหลักเกิดจากข้อผิดพลาดทางตรรกะที่แยกจากกันในกระบวนการตรวจสอบการสร้าง LP ผู้ให้สภาพคล่อง ผู้โจมตีสร้างการสร้าง LP ที่หลอกลวงและใช้มันเพื่อข้ามการตรวจสอบความปลอดภัยที่ควรจะขัดขวางการถอนเงิน แต่พออล์เหล่านี้ไม่ได้รับการสนับสนุนอีกต่อไปในชุดการพัฒนาซอฟต์แวร์หลักของ Raydium หรือหน้าเว็บแอปพลิเคชันแบบกระจายศูนย์ แต่สัญญาอัจฉริยะเองยังคงทำงานอยู่บนโซ่พร้อมกับสินทรัพย์จริงที่ถูกล็อกไว้ภายใน
ติดตามเงิน
วอลเล็ตของผู้โจมตีถูกติดตามย้อนกลับไปยัง KuCoin แพลตฟอร์มแลกเปลี่ยนแบบกลาง ซึ่งบ่งชี้ว่าเป็นแหล่งที่มาของเงินทุนเริ่มต้นสำหรับการโจมตี หลังจากการถ่ายโอนเงินออก ประมาณ 810 ETH ถูกส่งผ่าน Tornado Cash ซึ่งเป็นเครื่องมือผสม Ethereum เพื่อความเป็นส่วนตัว
การตอบกลับของ Raydium และภาพรวมที่ใหญ่กว่า
Raydium ดำเนินการอย่างรวดเร็วเพื่อยืนยันว่าจะชดเชยสินทรัพย์ที่สูญหายโดยตรงจากกองทุนของตนเอง แพลตฟอร์มยังประกาศการทบทวนความปลอดภัยอย่างครอบคลุมสำหรับโปรแกรมทั้งหมดบน Mainnet
การเปลี่ยนผ่านของ Raydium จากสระเก่าเหล่านี้เกิดจากการเลิกใช้งาน Serum ซึ่งเป็นโปรโตคอล Order Book บนโซ่ที่เคยเป็นศูนย์กลางของระบบนิเวศ DeFi ของ Solana Raydium ได้ย้ายไปใช้เวอร์ชันโปรแกรมใหม่กว่า เช่น V4 และ V5 ที่ใช้กลไก virtual supply ร่วมกับโปรโตคอลการตรวจสอบบัญชีที่เข้มงวดยิ่งขึ้น แต่สัญญาเก่าๆ ดูเหมือนยังไม่ได้ปิดตัวอย่างสมบูรณ์
สระปัจจุบันของ Raydium ได้แก่ CLMM (Concentrated Liquidity Market Maker) และเวอร์ชัน AMM ใหม่กว่า ไม่ได้รับผลกระทบ การสนับสนุนจากคลังทรัพย์หมายความว่าผู้ที่มีเงินคงเหลือในสระที่เลิกใช้งานแล้วไม่ควรสูญเสียเงินใดๆ
หน่วยงานของสหรัฐฯ ได้ลงโทษ Tornado Cash ในปี 2022 และการใช้งานต่อเนื่องของมันในการฟอกเงินจากการโจมตี ทำให้หน่วยงานกำกับดูแลมีข้ออ้างเพื่อเรียกร้องการควบคุมดูแลที่เข้มงวดยิ่งขึ้นต่อโปรโตคอล DeFi