Switchboard, il protocollo di oracoli multi-chain che fornisce dati sui prezzi alle applicazioni decentralizzate su diverse blockchain, ha interrotto le proprie distribuzioni basate su Move dopo aver scoperto quella che ha descritto come una potenziale compromissione della sicurezza. Le reti interessate includono Aptos, Sui, IOTA e Movement.

La sospensione, comunicata durante il passaggio dal 28 al 29 agosto, rappresenta uno degli incidenti a livello di oracolo più gravi degli ultimi tempi — e su almeno una rete i danni non sono stati solo teorici.

Cosa è successo su IOTA

Un attaccante ha sfruttato una chiave di oracolo compromessa per manipolare il feed dei prezzi di IOTA, impostando temporaneamente il prezzo del token a 10 milioni di dollari.

Con il feed che riportava un prezzo di IOTA drasticamente gonfiato, l'attaccante è riuscito a coniare circa 4,94 milioni di VUSD tramite il protocollo Virtue CDP. I protocolli CDP (posizioni di debito collateralizzato) consentono agli utenti di bloccare asset e prendere in prestito stablecoin contro di essi — e quando l'oracolo riporta che il collaterale vale 10 milioni di dollari per token, il protocollo permette di prendere in prestito di conseguenza.

Le conseguenze hanno colpito direttamente 45 utenti tramite liquidazioni. In risposta, gli indirizzi degli exchange sono stati congelati e il protocollo Virtue CDP stesso è stato fermato.

Portata della sospensione

La decisione di Switchboard di fermare tutte le implementazioni basate su Move suggerisce che la vulnerabilità potrebbe essere architetturale e non specifica di una singola rete. Move è il linguaggio di programmazione originariamente sviluppato in Meta (all'epoca Facebook) per il progetto Diem; oggi costituisce la base di Aptos, Sui e dei loro ecosistemi derivati, tra cui Movement e la più recente infrastruttura di IOTA.

Il protocollo ha dichiarato di stare collaborando attivamente con le agenzie di sicurezza competenti per indagare sulla violazione.

In particolare, la distribuzione di Switchboard su Solana non è stata colpita. La sua infrastruttura basata su Solana gira su codice diverso che apparentemente non era vulnerabile allo stesso vettore di exploit. Ciononostante, Switchboard ha consigliato anche agli utenti di Solana di cercare temporaneamente opzioni di oracolo alternative mentre procede l'indagine.

Perché le compromissioni degli oracoli sono particolarmente pericolose

Gli oracoli occupano una delle posizioni più critiche nello stack DeFi, fungendo da ponte tra i dati del mondo reale — prezzi dei token, tassi di interesse, valori degli asset — e gli smart contract on-chain che eseguono transazioni finanziarie basandosi su tali dati. I mercati di lending, l'emissione di stablecoin, i derivati e i motori di liquidazione dipendono tutti dall'accuratezza di questi feed; un singolo valore corrotto può propagarsi a ogni protocollo che lo utilizza, ed è esattamente ciò che è accaduto su IOTA.

L'ecosistema DeFi ha già vissuto exploit legati agli oracoli. Mango Markets su Solana ha subito un exploit da 114 milioni di dollari nel 2022 dopo che un attaccante ha manipolato il prezzo dell'oracolo della piattaforma.

Ciò che rende l'incidente di Switchboard particolarmente preoccupante è che la compromissione sembra essersi verificata a livello di chiave anziché tramite manipolazione del mercato. L'attaccante non ha dovuto eseguire strategie di trading complesse per muovere un prezzo; si è semplicemente impossessato di una chiave che controllava il feed e ha riscritto i dati direttamente. Le compromissioni a livello di chiave di questo tipo sono più difficili da contrastare con salvaguardie basate sul mercato, come i circuit breaker sulla deviazione del prezzo, poiché i dati riportati provengono da quella che per il protocollo consumer appare come una fonte legittima.

Implicazioni per gli ecosistemi interessati

Per Aptos, Sui e Movement, la sospensione è dirompente anche se su queste reti non sono stati confermati exploit. Qualsiasi protocollo DeFi che dipenda da Switchboard per i feed dei prezzi sta di fatto operando alla cieca fino alla ripresa del servizio — impossibilitato a elaborare liquidazioni, aggiornare i rapporti di collaterale o eseguire qualsiasi funzione dipendente dai prezzi.

I protocolli che hanno integrato fonti di oracolo ridondanti da fornitori come Pyth, Chainlink o Redstone insieme a Switchboard possono continuare a operare. Chi non lo ha fatto sta imparando una lezione costosa sui punti singoli di guasto.

Le dichiarazioni iniziali di Switchboard suggeriscono che i fondi degli utenti siano rimasti intatti al di là dell'incidente su IOTA, sebbene questa valutazione possa evolvere con il progredire delle indagini. Le questioni aperte chiave includono come sia stata ottenuta la chiave dell'oracolo, se una correzione sia stata auditata prima del ripristino dei feed basati su Move e come saranno risarciti gli utenti di IOTA colpiti — inclusi i 45 colpiti dalle liquidazioni innescate da prezzi manipolati.