Isang napapalabas na oracle ang nagpatay sa isang DeFi protocol. Ang Full Sail, isang capital-efficient yield protocol sa blockchain ng Sui, ay tatigil ng permanenteng pagpapatakbo pagkatapos ipagamit ng isang attacker ang may kamalian na price feeds mula sa oracle provider na Switchboard upang i-draw ang halos $91,000 mula sa tatlong mga vault nito.
Ang insidente, na lumabas noong Agosto 29, ay nag-trigger ng isang cascade na tugon kung saan hininto ng Switchboard ang mga operasyon sa apat na magkakahiwalay na blockchain. Hindi lamang ang Full Sail ang nasugatan: ang kaugnay na Virtue Money protocol ay nagsalaysay ng mga pagkawala na humigit-kumulang $455,000 na nakaaapekto sa 45 na gumagamit mula sa parehong napapalibutan na data.
Ano ang nangyari
Ang ugat ng problema ay nagmula sa mga implementasyon ng oracle ng Switchboard na gumagamit ng wika na Move. Ang Move ay ang programming language na nagtataguyod ng parehong Sui at Aptos, at ang posibleng kompromiso sa code ng Switchboard na batay sa Move ay nangangahulugan na ang mga price feed na dumadaloy sa mga protokolo sa mga chain na iyon ay posibleng nasira.
Totoo nang isinagawa ni Full Sail ang multi-oracle validation bilang pag-iingat, isang sistema na disenyo upang i-cross-check ang price data mula sa maraming pinagkukunan bago mag-act. Hindi sapat ang proteksyon na ito. Agad na ipinigil ng protocol ang mga pag-deposit at pag-withdraw agad pagkatapos ma-verify ang insidente noong Agosto 29, ngunit ang pinsala sa kanyang tatlong vault ay nangyari na.
Sumagot ang Switchboard sa pamamagitan ng paghinto sa operasyon sa apat na chain: Sui, Aptos, IOTA, at Movement.
Ang plano para sa paghinto
Sa September 2, inilahad ng Full Sail ang kanilang roadmap para sa pag-close. Ibinawal ng protokolo ang mga bagong pag-deposit at siniguro ang paghinto sa mga klaim sa reward ng liquidity provider, at isinalin lahat ng natitirang pool sa withdrawal-only mode.
Ang koponan ay nagkomit na ibalik ang natitirang likwididad sa mga user at nagpangako na sakupin ang anumang kakulangan mula sa kanilang sariling bulsa. Sinabi rin ni Full Sail na ipapalabas nila ang mga gabay para sa pag-withdraw at pag-claim upang gabayan ang mga user sa proseso ng pagkuha ng kanilang pera. Inaasahan ang isang komprehensibong ulat ng insidente sa mga darating na araw.
Mas malawak na pinsala sa ecosystem
Ang mga pagkawala ni Full Sail ay tila halos maipaglalaban kumpara sa nangyari sa Virtue Money. Ang protocol na iyon, na nag-iisa rin sa mga price feed ni Switchboard, ay nagsalaysay ng mga pagkawala na humigit-kumulang $455,000 na nakalat sa 45 na gumagamit. Kasama ang dalawang protocol, ay nilamon nito ang higit sa kalahati ng isang milyong dolyar na pinsala mula sa isang pagkabigo ng oracle.
Ang katotohanan na isinara ng Switchboard ang lahat ng apat na chains, hindi lang ang Sui, ay nagmumungkahi na ang vulnerability ay maaaring hindi chain-specific kundi nakabase sa Move-language oracle code mismo.