Switchboard, het multi-chain oracenprotocol dat prijsdata levert aan gedecentraliseerde applicaties op verschillende blockchains, heeft zijn Move-gebaseerde implementaties stilgelegd na de ontdekking van wat het beschreef als een mogelijke beveiligingsinbreuk. De getroffen netwerken zijn Aptos, Sui, IOTA en Movement.

De stillegging, aangekondigd tijdens de overgang van 28 naar 29 augustus, geldt als een van de ernstigste incidenten op oraceniveau van de afgelopen tijd — en op ten minste één netwerk was de schade bepaald niet theoretisch.

Wat er op IOTA gebeurde

Een aanvaller buitte een gecompromitteerde oraclesleutel uit om de IOTA-prijsfeed te manipuleren, waarbij de prijs van de token tijdelijk op 10 miljoen dollar werd gezet.

Met een feed die een absurd opgeblazen IOTA-prijs rapporteerde, kon de aanvaller circa 4,94 miljoen VUSD minten via het Virtue CDP-protocol. CDP-protocollen (collateralized debt positions) stellen gebruikers in staat activa vast te zetten en daar stablecoins tegen te lenen — en wanneer de oracle rapporteert dat onderpand 10 miljoen dollar per token waard is, staat het protocol een daarbijpassende lening toe.

De nasleep trof 45 gebruikers rechtstreeks via liquidaties. Als reactie werden exchange-adressen bevroren en werd het Virtue CDP-protocol zelf stilgelegd.

Omvang van de stillegging

Switchboards besluit om alle Move-gebaseerde implementaties stil te leggen suggereert dat het lek mogelijk architectonisch van aard is in plaats van netwerkspecifiek. Move is de programmeertaal die oorspronkelijk bij Meta (toen Facebook) werd ontwikkeld voor het Diem-project; het vormt nu de basis van Aptos, Sui en hun afgeleide ecosystemen, waaronder Movement en IOTA's nieuwere infrastructuur.

Het protocol meldde dat het actief samenwerkt met relevante veiligheidsdiensten om de inbreuk te onderzoeken.

Opvallend genoeg werd Switchboards implementatie op Solana niet getroffen. De Solana-gebaseerde infrastructuur draait op andere code die blijkbaar niet vatbaar was voor dezelfde aanvalsvector. Niettemin adviseerde Switchboard ook Solana-gebruikers om tijdens het onderzoek tijdelijk alternatieve oracles te gebruiken.

Waarom oracle-inbreuken uniek gevaarlijk zijn

Oracles nemen een van de meest cruciale posities in de DeFi-stack in: ze vormen de brug tussen data uit de echte wereld — tokenprijzen, rentetarieven, activawaarden — en on-chain smart contracts die op basis van die data financiële transacties uitvoeren. Lentemarkten, stablecoin-uitgifte, derivaten en liquidatie-engines zijn allemaal afhankelijk van de nauwkeurigheid van deze feeds; één gecorrumpeerde waarde kan zich door ieder protocol dat de feed gebruikt verspreiden, precies zoals op IOTA gebeurde.

Het DeFi-ecosysteem heeft eerder oracle-gerelateerde exploits meegemaakt. Mango Markets op Solana werd in 2022 getroffen door een exploit van 114 miljoen dollar nadat een aanvaller de oracleprijs van het platform manipuleerde.

Wat het Switchboard-incident bijzonder zorgwekkend maakt, is dat de inbreuk op sleutelniveau lijkt te hebben plaatsgevonden in plaats van via marktmanipulatie. De aanvaller hoefde geen complexe handelsstrategieën uit te voeren om een prijs te beïnvloeden; het kwam simpelweg in het bezit van een sleutel die de feed beheerste en herschreef de data direct. Inbreuken op sleutelniveau zijn moeilijker af te weren met marktgebaseerde beschermingsmechanismen zoals circuit breakers op prijsafwijkingen, aangezien de gerapporteerde data voor het afnemende protocol afkomstig lijkt van een legitieme bron.

Implicaties voor de getroffen ecosystemen

Voor Aptos, Sui en Movement is de stillegging ontwrichtend, ook al zijn op die netwerken geen exploits bevestigd. Elk DeFi-protocol dat voor prijsfeeds op Switchboard leunt, opereert tot de dienstverlening wordt hervat in feite blind — niet in staat liquidaties te verwerken, onderpandverhoudingen bij te werken of enige prijsafhankelijke functie uit te voeren.

Protocollen die naast Switchboard redundante oraclebronnen integreerden van aanbieders zoals Pyth, Chainlink of Redstone, kunnen doorgaan met hun activiteiten. Wie dat niet deed, krijgt een kostbare les over single points of failure.

Switchboards eerste verklaringen suggereren dat gebruikersmiddelen buiten het IOTA-incident intact zijn gebleven, al kan die beoordeling evolueren naarmate het onderzoek vordert. Belangrijke open vragen zijn hoe de oraclesleutel is verkregen, of een fix is geauditeerd voordat de Move-gebaseerde feeds worden hersteld, en hoe getroffen IOTA-gebruikers — waaronder de 45 die werden geraakt door liquidaties als gevolg van gemanipuleerde prijzen — schadeloos zullen worden gesteld.