Una perdita di 91.000 dollari ha portato a una decisione molto più grave

Full Sail ha divulgato un incidente di sicurezza il 29 agosto e ha sospeso le attività del protocollo durante le indagini. Il 1° settembre il protocollo ha successivamente annunciato che avrebbe chiuso le operazioni su Sui, spostando il focus dalla gestione dei vault al rimborso degli utenti colpiti. Chiusure di questo tipo rimangono insolite nel DeFi, dove i team più spesso correggono la vulnerabilità e rilanciano — il che rende la dimensione della perdita rispetto alla decisione stessa una parte rilevante di questa storia.

Nei suoi aggiornamenti ufficiali sulla chiusura, Full Sail ha dichiarato che circa 91.000 dollari erano stati prelevati da tre vault automatizzati. Il protocollo ha aggiunto che la liquidità residua di proprietà del protocollo sarebbe andata agli utenti e che il team avrebbe assorbito eventuali carenze, così che i depositanti della community vengano compensati per primi.

Perdita diretta dai vault: circa 91.000 dollari sono stati prelevati da tre vault automatizzati.

Impegno di rimborso: la liquidità di proprietà del protocollo e i fondi del team sono stati destinati ai depositanti della community.

Ancora sconosciuto: il protocollo non ha divulgato le richieste totali, la liquidità disponibile per i rimborsi né i meccanismi di richiesta.

Full Sail non ha pubblicato un bilancio che dimostri che la perdita di 91.000 dollari da sola rendesse impossibile una ripartenza. La decisione di chiudere suggerisce invece che la perdita diretta fosse solo una parte del problema. Il team deve anche verificare la dipendenza dai dati di prezzo, esaminare i vault colpiti e decidere se ricostruire il protocollo in modo sicuro e credibile abbia ancora senso.

Come dati di prezzo inaffidabili rendono insicuro un vault

Un oracolo fornisce a uno smart contract informazioni che non può ottenere autonomamente, inclusi i prezzi degli asset. Un vault può calcolare correttamente ogni transazione in base al prezzo che riceve e comunque produrre l'esito economico sbagliato se quel prezzo è inaffidabile. I guasti degli oracoli e la manipolazione dei feed di prezzo sono una classe di attacchi di lunga data nel DeFi, e molti protocolli mitigano il rischio incrociando più feed indipendenti — una questione di progettazione direttamente rilevante quando la compromissione di un singolo provider può propagarsi su ogni chain che serve.

Valido onchain, insicuro nella realtà

Un contratto non conosce in modo indipendente il prezzo di mercato di un asset. Agisce sul feed che è stato programmato ad accettare. Se quell'input diventa inaffidabile, una strategia automatizzata può considerare valida una transazione onchain mentre gli utenti assorbono la perdita economica.

Il sospetto problema di oracolo di Full Sail è tecnicamente diverso dal recente exploit governativo dei vault Term. Entrambi, tuttavia, mostrano che i contratti DeFi possono trattare un input compromesso come legittimo e comunque danneggiare gli utenti.

Full Sail ha collegato l'incidente a Switchboard. Nei suoi aggiornamenti ufficiali sull'incidente, Switchboard ha dichiarato di stare indagando su una potenziale compromissione delle sue implementazioni basate su Move e di aver sospeso i servizi interessati su Aptos, Sui, IOTA e Movement. L'ampiezza di quella sospensione illustra l'esposizione strutturale: un solo provider di oracoli che interrompe il servizio su quattro chain basate su Move significa che ogni protocollo a valle su quelle chain ha dovuto riconsiderare immediatamente la propria dipendenza dai dati di prezzo. Nessuno dei due team ha pubblicato un postmortem tecnico completo, quindi il preciso percorso dell'exploit e le responsabilità finali rimangono non confermati.

L'app è in pausa; la sola modalità di prelievo è la prossima fase

L'avviso di sicurezza in tempo reale di Full Sail indica che depositi e prelievi restano sospesi finché l'integrità dell'oracolo non sia ripristinata e verificata. I suoi aggiornamenti sulla chiusura indicano che i nuovi depositi e le richieste di ricompense per i provider di liquidità sono stati disabilitati, mentre i pool regolari dovrebbero passare alla sola modalità di prelievo dopo i controlli di sicurezza finali.

Il banner dell'app riflette lo stato di sicurezza attuale. La modalità di solo prelievo è la prossima fase pianificata, non una funzione attiva. Istruzioni separate per prelievi e richieste di rimborso sono ancora in attesa. La rapidità con cui Switchboard completerà le indagini e ripristinerà servizi verificati su Sui determinerà quella tempistica per ogni protocollo che ne dipendeva.

Cosa Full Sail deve ancora pubblicare

Full Sail ha promesso di mettere al primo posto i depositanti della community. Gli utenti necessitano ancora di cinque risposte pratiche prima di poter giudicare quella promessa:

1. L'importo della liquidità di proprietà del protocollo disponibile per il rimborso.
2. Il valore totale delle richieste degli utenti colpiti.
3. La data utilizzata per calcolare i saldi idonei.
4. Il momento in cui inizia l'accesso ai pool in sola modalità di prelievo.
5. Il processo di richiesta e il trattamento di eventuali carenze.

Finché tale riconciliazione non sarà pubblicata, la cifra di 91.000 dollari descrive la violazione — non ciò che gli utenti colpiti recupereranno.

Fonti: Full Sail (aggiornamenti sulla chiusura, app live), Switchboard (aggiornamenti sull'incidente).