Скомпрометированный оракул убил DeFi-протокол. Full Sail, протокол с эффективным использованием капитала на блокчейне Sui, прекращает работу навсегда после того, как злоумышленник воспользовался ошибочными ценовыми данными от поставщика оракулов Switchboard и вывел примерно 91 000 долларов из трех своих хранилищ.
Инцидент, выявленный 29 августа, вызвал цепную реакцию, в результате которой Switchboard приостановил работу на четырех отдельных блокчейнах. Full Sail — не единственная жертва: связанный протокол Virtue Money сообщил о потерях примерно в 455 000 долларов, затронувших 45 пользователей из-за скомпрометированных данных.
Что пошло не так
Корневая причина восходит к реализациям оракулов Switchboard на языке Move. Move — это язык программирования, лежащий в основе Sui и Aptos, и предполагаемое компрометирование кода Switchboard на базе Move означало, что цены, поступавшие в протоколы на этих цепочках, могли быть искажены.
Full Sail фактически внедрил многооракульную проверку в качестве меры защиты — систему, предназначенную для перекрестной проверки ценовых данных из нескольких источников перед их использованием. Этой защиты оказалось недостаточно. Протокол немедленно приостановил депозиты и выводы после подтверждения инцидента 29 августа, но ущерб трем его хранилищам уже был нанесен.
Switchboard ответил прекращением деятельности на четырех блокчейнах: Sui, Aptos, IOTA и Movement.
План по постепенному завершению
К 2 сентября Full Sail представил свой план закрытия. Протокол отключил новые депозиты и приостановил запросы вознаграждений для поставщиков ликвидности, переведя все оставшиеся пулы в режим только вывода.
Команда обязалась вернуть оставшуюся ликвидность пользователям и взяла на себя обязательство покрыть любые недостатки собственными средствами. Full Sail также заявила, что опубликует руководства по выводу и получению средств, чтобы помочь пользователям восстановить свои средства. Полный отчет о инциденте ожидается в ближайшие дни.
Более широкий ущерб по всей экосистеме
Потери Full Sail выглядят почти управляемыми по сравнению с тем, что произошло в Virtue Money. Этот протокол, который также полагался на ценовые данные Switchboard, сообщил о потерях примерно в 455 000 долларов, распределённых между 45 пользователями. Вместе два протокола понесли ущерб, превышающий полмиллиона долларов, из-за сбоя одного оракула.
Тот факт, что Switchboard отключился на четырех цепочках, а не только на Sui, указывает на то, что уязвимость, возможно, не была специфичной для цепочки, а была заложена непосредственно в код оракула на языке Move.