Một oracle bị xâm phạm đã khiến một giao thức DeFi sụp đổ. Full Sail, một giao thức sinh lời hiệu quả về vốn trên blockchain Sui, đang ngừng hoạt động vĩnh viễn sau khi một kẻ tấn công khai thác các nguồn giá lỗi từ nhà cung cấp oracle Switchboard để rút khoảng 91.000 USD từ ba kho chứa của nó.
Sự cố, được phát hiện vào ngày 29 tháng Tám, đã gây ra phản ứng dây chuyền khiến Switchboard tạm dừng hoạt động trên bốn blockchain riêng biệt. Full Sail không phải là tổn thất duy nhất: giao thức Virtue Money liên quan cũng báo cáo khoản tổn thất khoảng 455.000 USD ảnh hưởng đến 45 người dùng từ cùng một dữ liệu bị xâm phạm.
Điều gì đã xảy ra
Nguyên nhân gốc rễ bắt nguồn từ các triển khai oracle của Switchboard bằng ngôn ngữ Move. Move là ngôn ngữ lập trình nền tảng cho cả Sui và Aptos, và sự xâm phạm nghi ngờ trong mã dựa trên Move của Switchboard có nghĩa là các nguồn giá truyền vào các giao thức trên các chuỗi này có thể đã bị làm sai lệch.
Full Sail thực sự đã triển khai xác thực đa oracle như một biện pháp phòng ngừa, một hệ thống được thiết kế để kiểm tra chéo dữ liệu giá từ nhiều nguồn trước khi thực hiện hành động. Tuy nhiên, biện pháp phòng vệ này không đủ. Giao thức đã tạm dừng các khoản nạp và rút ngay sau khi xác nhận sự cố vào ngày 29 tháng Tám, nhưng thiệt hại đối với ba kho chứa của nó đã xảy ra rồi.
Switchboard đã phản hồi bằng cách ngừng hoạt động trên bốn chuỗi: Sui, Aptos, IOTA và Movement.
Kế hoạch thu hẹp hoạt động
Đến ngày 2 tháng 9, Full Sail đã công bố lộ trình đóng cửa. Giao thức đã vô hiệu hóa các khoản nạp mới và ngừng yêu cầu thưởng cho nhà cung cấp thanh khoản, chuyển tất cả các pool còn lại sang chế độ chỉ rút tiền.
Đội ngũ cam kết phân phối lại lượng thanh khoản còn lại cho người dùng và hứa bù đắp bất kỳ khoản thiếu hụt nào từ nguồn túi cá nhân. Full Sail cũng cho biết sẽ công bố các hướng dẫn rút tiền và yêu cầu bồi thường để hướng dẫn người dùng qua quy trình khôi phục tài sản của họ. Một báo cáo sự cố toàn diện dự kiến sẽ được công bố trong những ngày tới.
Hậu quả rộng hơn trên toàn hệ sinh thái
Thiệt hại của Full Sail dường như gần như có thể kiểm soát được so với những gì xảy ra tại Virtue Money. Giao thức này, cũng dựa vào nguồn giá của Switchboard, đã báo cáo thiệt hại khoảng 455.000 USD trải đều trên 45 người dùng. Tổng cộng, hai giao thức này đã gánh chịu thiệt hại vượt quá nửa triệu đô la do một sự cố oracle duy nhất.
Việc Switchboard ngừng hoạt động trên bốn chuỗi, không chỉ riêng Sui, cho thấy lỗ hổng có thể không phải đặc thù của chuỗi nào mà đã được tích hợp sẵn vào mã oracle của ngôn ngữ Move.