Penyerang yang ganas dan tegas bertindak tidak wajar menggunakan akaun kuasa Raydium Liquidity Pool V4. Walau bagaimanapun, ini dicapai dengan berhubung dengan Pemilik Kolam atau akaun pentadbiran. Dalam senario kes akaun pemilik kolam, bagaimanapun, ia pada asalnya diletakkan pada mesin maya dengan pelayan dalaman tertentu.
Di sebalik semua fakta yang terkumpul pada masa ini, terdapat audit keselamatan dalaman sedang dijalankan dengan tujuan dan niat untuk cuba menguraikan semua kemungkinan sebab di sebalik manipulasi akaun yang dipersoalkan. Walau bagaimanapun, hakikat sebenar perkara itu masih berdiri dengan pengetahuan bahawa masih perlu ada pendedahan yang sewajarnya mengenai kes itu, yang secara tidak sengaja akan bertukar menjadi pemahaman yang lebih baik dan lebih jelas.
Walau bagaimanapun, dengan mengambil kira semua parameter yang tidak diketahui, apa yang jelas ialah penyerang dapat menjejaskan lapan kumpulan kecairan produk berterusan pada Raydium dengan buruk. Walau bagaimanapun, ini mengakibatkan dana yang dicuri bernilai kira-kira $4.4 juta. Selain itu, rahmat penjimatan ialah tiada kumpulan atau dana lain di Raydium menyaksikan sebarang penyelewengan.
Penyerang menggunakan dua kaedah asas dalam eksploitasi Radyium. Satu cara ialah apabila penyerang boleh mengambil kesempatan daripada fungsi arahan withdrawPNL untuk mengeluarkan dana, lebih banyak dalam bentuk yuran, daripada peti besi pool. Dalam contoh kedua, penyerang menggunakan arahan SetParams untuk menukar dan meningkatkan bayaran yang dijangkakan, dengan itu mengeluarkan dana daripada bilik kebal pool.
Radiyum, di pihaknya, untuk menghentikan penyerang, meletakkan tampung panas yang membantu membatalkan kuasa akaun sebelumnya dan mengemas kininya ke akaun baharu. Tampalan, dalam senario kes ini, membatalkan kuasa penyerang, menghalang sebarang penyalahgunaan kumpulan selanjutnya. Selepas langkah awal, program ini dimajukan dengan bantuan Squads multisig untuk mengalih keluar parameter pentadbiran yang tidak diingini yang menjejaskan dana.
Tambahan pula, beberapa parameter yang telah dialih keluar ialah AmmParams::MinSize, AmmParams::SetLpSupply,AmmParams::SyncNeedTake dan AmmParams::SyncLp.
Semua parameter pentadbir dikemas kini dengan sewajarnya kepada skuad multisig, yang kini digunakan untuk menaik taraf program. Sebagai perlindungan selanjutnya, Radyium sedang dalam proses memahami kesan penyelewengan pada kumpulan untuk baki LP pengguna. Selain itu, dompet penyerang juga sedang dijejaki semasa menjaringkan cara untuk memulangkan dana. Untuk urusan peringkat lebih lanjut, Radyium mengambil bantuan beberapa pasukan Solana, juruaudit pihak ketiga dan pertukaran berpusat. Hadiah 3% juga ditawarkan sebagai ganti dana yang dikembalikan.
Sumber: https://www.cryptonewsz.com/explicit-post-mortem-report-of-raydium-liquidity-pool-v4s-exploit/