Un oracule compromis a entraîné la fermeture d’un protocole DeFi. Full Sail, un protocole de rendement efficace en capital sur la blockchain Sui, met fin définitivement à ses activités après qu’un attaquant a exploité des flux de prix défectueux fournis par l’oracule Switchboard pour vider environ 91 000 $ de trois de ses coffres.
L'incident, survenu le 29 août, a déclenché une réaction en chaîne qui a conduit Switchboard à arrêter ses opérations sur quatre blockchains distinctes. Full Sail n'est pas le seul sinistré : le protocole Virtue Money lié a signalé environ 455 000 $ de pertes affectant 45 utilisateurs à partir des mêmes données compromises.
Qu'est-ce qui n'a pas fonctionné
La cause racine remonte aux implémentations d'oracle de Switchboard en langage Move. Move est le langage de programmation à la base de Sui et d'Aptos, et la compromission présumée du code de Switchboard basé sur Move a pu corrompre les flux de prix entrant dans les protocoles sur ces chaînes.
Full Sail avait en réalité mis en œuvre une validation multi-oracles comme mesure de sécurité, un système conçu pour croiser les données de prix provenant de plusieurs sources avant d’agir. Cette défense n’était pas suffisante. Le protocole a immédiatement suspendu les dépôts et les retraits après avoir confirmé l’incident le 29 août, mais les dommages à ses trois coffres avaient déjà été causés.
Switchboard a répondu en cessant ses opérations sur quatre chaînes : Sui, Aptos, IOTA et Movement.
Le plan de liquidation
D'ici le 2 septembre, Full Sail a détaillé son plan de fermeture. Le protocole a désactivé les nouveaux dépôts et arrêté les réclamations de récompenses pour les fournisseurs de liquidité, passant tous les pools restants en mode retrait uniquement.
L'équipe s'est engagée à redistribuer la liquidité restante aux utilisateurs et a promis de couvrir tout déficit à ses propres frais. Full Sail a également déclaré qu'elle publierait des guides de retrait et de réclamation pour guider les utilisateurs dans le processus de récupération de leurs fonds. Un rapport d'incident complet est attendu dans les prochains jours.
Dégâts plus étendus à travers l'écosystème
Les pertes de Full Sail semblent presque gérables par rapport à ce qui s’est produit chez Virtue Money. Ce protocole, qui reposait également sur les flux de prix de Switchboard, a déclaré des pertes d’environ 455 000 $ réparties entre 45 utilisateurs. Ensemble, les deux protocoles ont subi plus de half a million de dollars de dommages à cause d’une seule défaillance d’oracle.
Le fait que Switchboard ait été arrêté sur quatre chaînes, et non seulement sur Sui, suggère que la vulnérabilité n'était peut-être pas spécifique à une chaîne, mais intégrée directement dans le code oracle du langage Move.