Por Canuto  

Splash corrigió la ruta de explotación que permitió drenar el pool ADA/OADA, pero la solución técnica no recuperó los fondos que daban liquidez a OADA. Con apenas 10 ADA restantes y otros mercados casi vacíos, los tenedores enfrentan una salida incierta y un posible arbitraje si el pool vuelve a recibir fondos.

***

  • El atacante retiró 2.434.648 ADA y 1.988.222 OADA mediante dos transacciones realizadas el 13 de septiembre.
  • El pool drenado quedó con solo 10 ADA y alrededor de 1,44 millones de OADA, sin una vía significativa de redención a nivel de protocolo.
  • Splash advirtió que cualquier nueva liquidez de ADA/OADA podría ser arbitrada contra el inventario de OADA en un mercado secundario poco profundo.

 

Tres días después del drenaje del pool StableSwap de ADA/OADA, operado por Splash en Cardano, los tenedores de OADA continuaban enfrentando un problema que una corrección de código no podía resolver por sí sola.

El atacante había retirado los activos que sostenían la principal vía de salida del token, por lo que cerrar la vulnerabilidad no significaba recuperar la liquidez perdida ni restablecer automáticamente los canjes.

Según el informe de incidentes de Splash, el actor ejecutó dos transacciones el 13 de septiembre para retirar 2.434.648 ADA y 1.988.222 OADA. Al descontar el depósito de 9.870 ADA realizado por el atacante, pero sin considerar las comisiones de red, el drenaje neto de ADA ascendió a 2.424.778, una magnitud que dejó al pool prácticamente sin capacidad de atender retiros significativos.

El problema original estaba en el validador del pool, que calculaba una reserva operable al restar las comisiones acumuladas por el protocolo de los saldos reales. Splash explicó que esa lógica no exigía que la reserva permaneciera positiva, solo restringía los cambios de comisiones desde abajo y tampoco verificaba la dirección de un swap antes de aprobarlo.

Esas comprobaciones incompletas permitieron que el validador aceptara una transacción después de que la reserva operable de ADA se volviera negativa. La compañía señaló que una comprobación del dominio de reserva o un límite bilateral para las comisiones habría bloqueado la ruta reconstruida del ataque, aunque ninguna de esas medidas puede devolver el ADA que ya abandonó el contrato.

Un pool con ADA insuficiente para sostener OADA

Inmediatamente después del drenaje, el pool conservaba solo 10 ADA y aproximadamente 1,44 millones de OADA, mientras la reserva operable de ADA permanecía en territorio negativo. El saldo de los tokens de proveedor de liquidez, conocidos como tokens LP, no había cambiado, pero esa cifra no compensa la pérdida del activo que permitía a los usuarios convertir OADA nuevamente en ADA.

La diferencia entre una reserva contable y una salida líquida resulta central para entender el daño. Un contrato puede mantener registros de posiciones o tokens LP, pero si no dispone de suficiente ADA disponible, los tenedores de OADA no pueden asumir que esos saldos representen una redención inmediata a un valor cercano al esperado.

La instantánea del 13 de septiembre incluida por Splash indicaba que OADA no tenía redención a nivel de protocolo. En ese contexto, el drenaje afectó no solo a un mercado automatizado, sino también a la principal referencia práctica para quienes buscaban convertir el token en ADA sin depender de una contraparte externa.

Otros mercados de OADA mencionados en el informe estaban casi vacíos en ese momento, con pools que mantenían únicamente saldos de ADA de uno o dos dígitos. Esa profundidad limitada reduce la capacidad de absorber ventas, eleva el impacto de cada operación y hace más difícil que una eventual reapertura del pool principal se produzca sin nuevas distorsiones de precio.

El riesgo de arbitraje complica una reapertura

La venta de OADA realizada por el atacante añadió otra presión sobre el mercado. A las 14:53 UTC del 13 de septiembre, un pool OADA/FLDT de Minswap V2 mantenía 1.763.923 OADA frente a 45.751 FLDT, un inventario que podía convertirse en una fuente de tokens con descuento frente a cualquier nuevo mercado con ADA.

Splash advirtió que una inyección de ADA en un pool reabierto podría ser arbitrada contra ese inventario de OADA. En términos prácticos, operadores con acceso a ambos mercados podrían comprar OADA depreciado en el venue secundario y venderlo contra la liquidez nueva, extrayendo parte de los ADA antes de que los usuarios afectados obtengan una salida.

Por esa razón, una reapertura utilizable requeriría más que un validador corregido. El protocolo tendría que reponer una cantidad suficiente de ADA o establecer un mecanismo de redención, además de definir cómo manejar el inventario de OADA acumulado en un mercado secundario poco profundo que podría competir por los fondos recién incorporados.

El caso ilustra una distinción relevante para las aplicaciones de finanzas descentralizadas: reparar la lógica que permite un exploit reduce el riesgo de un nuevo drenaje, pero no reconstruye automáticamente el balance económico de un pool. Sin un plan para la liquidez, la corrección puede convertir un contrato vulnerable en un contrato seguro, aunque todavía incapaz de procesar retiros normales.

Optim Finance aún no anuncia liquidez restaurada

Optim Finance informó el 13 de septiembre que su protocolo estaba pausado, que la liquidez restante había sido retirada y que los swaps de OADA a ADA no estaban disponibles. La suspensión confirmó que los usuarios no contaban con una operación ordinaria para salir de sus posiciones mientras los equipos revisaban el alcance del incidente.

En una actualización del 15 de septiembre, Optim Finance dijo que estaba indexando la cadena y elaborando un conteo completo de las direcciones y los activos afectados. El comunicado describió un trabajo orientado a una resolución, pero no anunció la llegada de nueva liquidez, un mecanismo de redención ni la restauración de las operaciones.

La ausencia de una solución anunciada mantiene abiertas varias preguntas para los tenedores de OADA. Entre ellas están la fuente de cualquier ADA de rescate, el tratamiento de las posiciones de los usuarios, la forma de aislar el inventario secundario y las condiciones bajo las cuales un pool podría operar nuevamente sin exponer los fondos a otra extracción.

Mientras tanto, ADA mostraba un avance de 5,38% en 24 horas y ocupaba el puesto 15 por capitalización de mercado, con una valoración de USD $7.430 millones y un volumen diario de USD $432 millones, 9,34% menos. El activo acumulaba variaciones positivas de 15,30% en 30 días, 21,86% en 60 días y 24,92% en 90 días, aunque esos datos de mercado no resuelven la falta de liquidez específica de OADA.

El suministro circulante de ADA figuraba en 36.750 millones de unidades y su valoración totalmente diluida alcanzaba USD $9.100 millones. La recuperación de ADA en el mercado general, por tanto, no debe confundirse con una recuperación de los fondos del pool afectado: el problema de OADA depende de una solución directa para ese contrato, sus usuarios y los mercados relacionados.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.

 


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados