Sebuah oracle yang disusupi telah menghancurkan sebuah protokol DeFi. Full Sail, sebuah protokol hasil berkesan efisien modal di blok rantai Sui, akan ditutup secara permanen selepas penyerang mengeksploitasi aliran harga yang cacat daripada penyedia oracle Switchboard untuk mengosongkan kira-kira $91,000 daripada tiga kotak simpanannya.
Insiden tersebut, yang muncul pada 29 Ogos, memicu tindakan berantai yang menyebabkan Switchboard menghentikan operasi di empat blok rantai yang berbeza. Full Sail bukan satu-satunya mangsa: protokol Virtue Money yang berkaitan melaporkan kerugian kira-kira $455,000 yang mempengaruhi 45 pengguna daripada data yang sama yang telah disusupi.
Apa yang salah
Punca utama berpunca daripada pelaksanaan oracle bahasa Move Switchboard. Move ialah bahasa pengaturcaraan yang menjadi asas kedua-dua Sui dan Aptos, dan kompromi yang disyaki dalam kod berasaskan Move Switchboard bermakna bahawa aliran harga yang masuk ke protokol di rantai tersebut berpotensi rosak.
Full Sail sebenarnya telah melaksanakan pengesahan multi-orakel sebagai langkah keselamatan, satu sistem yang direka untuk menyemak semula data harga daripada beberapa sumber sebelum bertindak. Pertahanan itu tidak mencukupi. Protokol tersebut menghentikan deposit dan penarikan segera selepas mengesankan insiden tersebut pada 29 Ogos, tetapi kerosakan kepada tiga peti simpanannya sudah berlaku.
Switchboard bertindak dengan menghentikan operasi di empat rantai: Sui, Aptos, IOTA, dan Movement.
Rancangan penutupan
Pada 2 September, Full Sail telah menggariskan peta jalan penutupannya. Protokol tersebut menonaktifkan deposit baru dan menghentikan tuntutan hadiah penyedia likuiditi, serta mengalihkan semua kolam yang tersisa ke modus hanya penarikan.
Pasukan berkomitmen untuk mengembalikan likuiditi yang tinggal kepada pengguna dan berjanji untuk menutup sebarang kekurangan dari dana sendiri. Full Sail juga menyatakan akan menerbitkan panduan penarikan dan pengklaiman untuk membimbing pengguna melalui proses pemulihan dana mereka. Laporan insiden menyeluruh dijangka diterbitkan dalam beberapa hari mendatang.
Kerosakan yang lebih luas di seluruh ekosistem
Kerugian Full Sail kelihatan hampir boleh dikendalikan berbanding apa yang berlaku di Virtue Money. Protokol itu, yang juga bergantung kepada feed harga Switchboard, melaporkan kerugian sebanyak kira-kira $455,000 yang tersebar di kalangan 45 pengguna. Secara keseluruhan, kedua-dua protokol menyerap lebih daripada setengah juta dolar kerugian akibat kegagalan oracle tunggal.
Fakta bahawa Switchboard ditutup di empat rantai, bukan hanya Sui, menunjukkan bahawa kerentanan mungkin tidak spesifik kepada rantai itu sendiri, tetapi telah tertanam dalam kod oracle bahasa Move itu sendiri.