Een verlies van $91.000 leidde tot een veel grotere beslissing

Full Sail maakte op 29 augustus een beveiligingsincident bekend en pauzeerde de protocolactiviteiten tijdens het onderzoek. Het protocol kondigde vervolgens op 1 september aan de activiteiten op Sui stop te zetten, waarbij de focus verschoof van het beheren van vaults naar het terugbetalen van getroffen gebruikers. Stilleggingen van deze soort blijven ongebruikelijk in DeFi, waar teams vaker de kwetsbaarheid patchen en opnieuw lanceren — wat de verhouding tussen de omvang van het verlies en de beslissing zelf tot een opvallend onderdeel van dit verhaal maakt.

In zijn officiële stilleggingsupdates meldde Full Sail dat er ongeveer $91.000 uit drie geautomatiseerde vaults was weggehaald. Het protocol voegde daaraan toe dat de resterende door het protocol beheerde liquiditeit naar gebruikers zou gaan en dat het team elk tekort zou opvangen, zodat gemeenschapsdeposito's eerst worden gecompenseerd.

Direct vault-verlies: Er werd ongeveer $91.000 uit drie geautomatiseerde vaults weggehaald.

Terugbetalingstoezegging: Door het protocol beheerde liquiditeit en teamfondsen zijn toegezegd aan gemeenschapsdeposito's.

Nog onbekend: Het protocol heeft totale claims, beschikbare terugbetalingsliquiditeit of claimprocedures niet bekendgemaakt.

Full Sail heeft geen balans gepubliceerd waaruit blijkt dat het verlies van $91.000 alleen een herstart onmogelijk maakte. De beslissing om stil te leggen suggereert juist dat het directe verlies slechts één deel van het probleem was. Het team moet ook de prijsdata-afhankelijkheid verifiëren, de getroffen vaults doorlopen en beslissen of het veilig en geloofwaardig herbouwen van het protocol nog zinvol is.

Hoe onbetrouwbare prijsdata een vault onveilig maakt

Een oracle voorziet een smart contract van informatie die het niet zelf kan verkrijgen, waaronder activaprijzen. Een vault kan elke transactie correct berekenen op basis van de ontvangen prijs en toch de verkeerde economische uitkomst opleveren als die prijs onbetrouwbaar is. Oracle-fouten en manipulatie van prijsfeeds vormen al lang een bekende aanvals klasse in DeFi, en veel protocollen beperken het risico door meerdere onafhankelijke feeds tegen elkaar af te zetten — een ontwerpvraag die direct relevant is wanneer de compromittering van één aanbieder zich kan verspreiden naar elke chain die deze bedient.

Geldig onchain, onveilig in werkelijkheid

Een contract kent de marktprijs van een actief niet zelfstandig. Het handelt op basis van de feed die het geaccepteerd heeft. Als die input onbetrouwbaar wordt, kan een geautomatiseerde strategie een transactie onchain als geldig behandelen, terwijl gebruikers het economische verlies dragen.

Het vermoede oracle-probleem van Full Sail verschilt technisch van de recente governance-exploit van de Term-vaults. Beide laten echter zien dat DeFi-contracten een gecompromitteerde input als legitiem kunnen behandelen en gebruikers toch schade kunnen toebrengen.

Full Sail koppelde het incident aan Switchboard. In zijn officiële incidentupdates meldde Switchboard dat het een mogelijke compromittering van zijn op Move gebaseerde implementaties onderzocht en de getroffen diensten op Aptos, Sui, IOTA en Movement stillegde. De reikwijdte van die stillegging illustreert de structurele blootstelling: één oracle-aanbieder die de dienst op vier op Move gebaseerde chains stillegt, betekent dat elk downstream-protocol op die chains tegelijk de eigen prijsdata-afhankelijkheid moest herbeoordelen. Geen van beide teams heeft een volledige technische postmortem gepubliceerd, dus het precieze exploitroute en de uiteindelijke verantwoordelijkheid zijn nog onbevestigd.

De app is gepauzeerd; uitsluitend-opname is de volgende fase

De actuele beveiligingsmelding van Full Sail zegt dat stortingen en opnames gepauzeerd blijven tot de integriteit van het oracle is hersteld en geverifieerd. De stilleggingsupdates melden dat nieuwe stortingen en claims van beloningen voor liquiditeitsproviders zijn uitgeschakeld, terwijl reguliere pools na definitieve veiligheidscontroles uitsluitend-opname worden verwacht.

De banner in de app weerspiegelt de huidige veiligheidsstatus. De uitsluitend-opname-modus is de volgende geplande fase, geen live functie. Aparte instructies voor opname en claims zijn nog in behandeling. Hoe snel Switchboard het onderzoek afrondt en geverifieerde diensten op Sui herstelt, bepaalt die tijdlijn voor elk protocol dat ervan afhankelijk was.

Wat Full Sail nog moet publiceren

Full Sail heeft beloofd gemeenschapsdeposito's voorop te stellen. Gebruikers hebben nog vijf praktische antwoorden nodig voordat zij die belofte kunnen beoordelen:

1. De hoeveelheid door het protocol beheerde liquiditeit die beschikbaar is voor terugbetaling.
2. De totale waarde van de claims van getroffen gebruikers.
3. De datum die wordt gebruikt om in aanmerking komende saldi te berekenen.
4. Het moment waarop uitsluitend-opname-toegang tot de pools begint.
5. Het claimproces en de afhandeling van eventuele tekorten.

Tot die afrekening wordt gepubliceerd, beschrijft het bedrag van $91.000 de inbraak — niet wat getroffen gebruikers zullen terugkrijgen.

Bronnen: Full Sail (stilleggingsupdates, live app), Switchboard (incidentupdates).