Zlý a odhodlaný útočník konal nevhodne pomocou autoritatívneho účtu Raydium Liquidity Pool V4. To sa však dosiahne spojením s vlastníkom bazéna alebo správcovským účtom. V prípade účtu vlastníka fondu bol však pôvodne umiestnený na virtuálnom počítači so špecifickým interným serverom.
Napriek všetkým aktuálne zhromaždeným skutočnostiam v súčasnosti prebieha interný bezpečnostný audit s cieľom a zámerom pokúsiť sa rozlúštiť všetky možné dôvody manipulácie s predmetným účtom. Skutočný fakt však stále stojí s vedomím, že ešte musí dôjsť k riadnemu odhaleniu prípadu, ktoré sa chtiac-nechtiac zmení na lepšie a jasnejšie pochopenie.
Vzhľadom na všetky neznáme parametre je však jasné, že útočníkovi sa podarilo nepriaznivo ovplyvniť osem konštantných fondov likvidity produktov na Raydium. Výsledkom však boli ukradnuté prostriedky v hodnote približne 4.4 milióna dolárov. Okrem toho, záchrana je v tom, že žiadny iný fond ani fondy na Raydiu neboli svedkom žiadnej sprenevery.
Útočník použil pri využívaní Radyia dve základné metódy. Jedným zo spôsobov bolo, keď útočník mohol využiť fungovanie inštrukcie drawPNL na výber prostriedkov, skôr vo forme poplatkov, z trezoru. V druhom prípade útočník využil inštrukciu SetParams na zmenu a zvýšenie očakávaných poplatkov, čím stiahol prostriedky z trezoru.
Radiyum, aby zastavil útočníka, umiestnil hot patch, ktorý pomohol zrušiť autoritu predchádzajúceho účtu, a aktualizoval ho na nový účet. Záplata v tomto prípade zrušila autoritu útočníka, čím zabránila ďalšiemu zneužitiu poolov. Po úvodných krokoch je program pokročilý pomocou Squads multisig, aby odstránil nežiaduce parametre administrácie ovplyvňujúce finančné prostriedky.
Okrem toho niektoré z parametrov, ktoré boli odstránené, sú AmmParams::MinSize, AmmParams::SetLpSupply,AmmParams::SyncNeedTake a AmmParams::SyncLp.
Všetky parametre správcu sú náležite aktualizované na squads multisig, ktorý sa v súčasnosti používa na aktualizáciu programov. Ako ďalšia ochrana je Radyium v procese pochopenia vplyvu sprenevery na fondy používateľských zostatkov LP. Okrem toho sa sledujú aj peňaženky útočníkov pri vyhodnocovaní spôsobov vrátenia prostriedkov. Pokiaľ ide o ďalšie záležitosti na úrovni, Radyium využíva pomoc niektorých tímov Solana, audítorov tretích strán a centralizovaných búrz. Namiesto vrátenia prostriedkov sa ponúka aj 3% odmena.
Zdroj: https://www.cryptonewsz.com/explicit-post-mortem-report-of-raydium-liquidity-pool-v4s-exploit/