Raydium, salah satu bursa terdesentralisasi terbesar di Solana, mengungkapkan eksploitasi dalam program Automated Market Maker V3 warisannya yang mengekstraksi sekitar $1,34 juta dari lima kolam likuiditas yang sudah ditinggalkan. Serangan tersebut menargetkan kolam yang telah dihentikan sejak 2021, bermakna tiada pengguna aktif atau antarmuka Raydium semasa yang terjejas.
Apa yang diambil dan bagaimana
Aset-aset yang tercuri termasuk sekitar 150,177 token RAY, 5,603 token SOL, dan sekitar 893,700 USDC. Lima pasaran yang terjejas ialah Sollet USDT-RAY, Sollet ETH-RAY, SRM-RAY, USDC-RAY, dan RAY-SOL, kesemuanya telah ditinggalkan selepas protokol Serum ditutup pada tahun 2021.
Punca utama ialah kecacatan logik yang bersendirian dalam proses pengesahan penciptaan LP penyedia likuiditi. Penyerang mencipta penciptaan LP palsu dan menggunakannya untuk melintasi semakan keselamatan yang sepatutnya menghalang penarikan. Pasaran tidak lagi disokong dalam Kit Pembangunan Perisian utama Raydium atau antara muka aplikasi terdesentralisasi, tetapi kontrak pintar itu sendiri masih aktif di rantai dengan aset sebenar terkunci di dalamnya.
Mengikuti wang
Dompet penyerang telah dilacak kembali kepada KuCoin, bursa terpusat, yang menunjukkan bahawa itulah sumber pendanaan awal bagi serangan tersebut. Selepas penarikan, sebanyak 810 ETH telah dialirkan melalui Tornado Cash, pencampur Ethereum yang berfokus pada privasi.
Tanggapan Raydium dan gambaran yang lebih besar
Raydium bergerak pantas untuk mengesahkan bahawa ia akan mengganti aset yang hilang secara langsung dari perbendaharaannya. Bursa itu juga mengumumkan tinjauan keselamatan menyeluruh terhadap semua program rangkaian utamanya.
Peralihan Raydium daripada kolam-kolam lama ini dipengaruhi oleh penghentian Serum, protokol buku pesanan atas rantai yang pernah menjadi pusat ekosistem DeFi Solana. Raydium seterusnya berpindah kepada versi program yang lebih baharu termasuk V4 dan V5, yang menggunakan mekanisme bekalan maya bersama protokol pengesahan akaun yang lebih ketat. Tetapi kontrak lama jelas tidak ditutup sepenuhnya.
Pools semasa Raydium, iaitu CLMM (Concentrated Liquidity Market Maker) dan versi AMM yang lebih baharu, tidak terjejas. Sokongan perbendaharaan bermakna tiada siapa pun yang mempunyai dana baki dalam pool yang telah ditinggalkan akan mengalami kerugian.
Otoriti AS mengenakan sanksi terhadap Tornado Cash pada 2022, dan penggunaan berterusanannya dalam pencucian dana eksploit memberikan bahan kepada regulator untuk berhujah bagi pengawasan yang lebih ketat terhadap protokol DeFi.