Злобниот и многу решителен напаѓач постапил несоодветно користејќи ја авторската сметка на Raydium Liquidity Pool V4. Сепак, ова се постигнува со поврзување со Сопственикот на базенот или со административната сметка. Меѓутоа, во случајот со сметката на сопственикот на базенот, таа првично беше позиционирана на виртуелна машина со специфичен внатрешен сервер.
И покрај сите тековно собрани факти, во моментов се спроведува внатрешна безбедносна ревизија со цел и намера да се обиде да ги дешифрира сите можни причини зад манипулацијата со предметната сметка. Сепак, вистинскиот факт за работата сè уште стои со сознанието дека допрва треба да има соодветно обелоденување на случајот, што ненамерно ќе се претвори во подобро и појасно разбирање.
Сепак, имајќи ги предвид сите непознати параметри, она што е јасно е дека напаѓачот можел негативно да влијае на осум базени за ликвидност на производи со постојана ликвидност на Raydium. Сепак, ова резултираше со украдени средства во вредност од околу 4.4 милиони долари. Освен тоа, заштедувачката благодат е што ниту еден друг базен или средства на Raydium не беа сведоци на злоупотреба.
Напаѓачот користел два основни методи во експлоатацијата на Радиумот. Еден начин беше кога напаѓачот можеше да го искористи функционирањето на инструкцијата за повлечеPNL за да повлече средства, повеќе во форма на такси, од трезорот за базен. Во вториот случај, напаѓачот ја искористил инструкцијата SetParams за промена и зголемување на очекуваните надоместоци, со што ги повлекувал средствата од трезорот за базен.
Radiyum, од своја страна, за да го спречи напаѓачот, постави топла закрпа што помогна да се поништи авторитетот на претходната сметка и ја ажурираше на нова сметка. Закрпата, во ова сценарио, го поништи авторитетот на напаѓачот, спречувајќи секаква понатамошна погрешна употреба на базените. По почетните чекори, програмата се унапредува со помош на Squads multisig за отстранување на несаканите административни параметри кои влијаат на средствата.
Понатаму, некои од параметрите што се отстранети се AmmParams::MinSize, AmmParams::SetLpSupply, AmmParams::SyncNeedTake и AmmParams::SyncLp.
Сите администраторски параметри се соодветно ажурирани на squads multisig, кој во моментов се користи за надградба на програмите. Како понатамошна заштита, Radyium е во процес на разбирање на ефектот од злоупотребата на базените за салда на кориснички LP. Дополнително, паричниците на напаѓачите исто така се следат додека се постигнуваат начини за враќање на средствата. За понатамошни прашања на ниво, Radyium ја зема помошта од некои тимови на Солана, ревизори од трета страна и централизирани размени. На местото на враќањето на средствата, исто така се нуди награда од 3%.
Извор: https://www.cryptonewsz.com/explicit-post-mortem-report-of-raydium-liquidity-pool-v4s-exploit/