Após o bug em uma pool de liquidez que comprometeu a cunhagem da stablecoin aUSD, o protocolo Acala e sua governança tomaram medidas para recuperar e destruir os aUSD produzidos de forma errada, fazer o re-peg do preço do ativo com o dólar americano, e recuperar os fundos trocados e enviados para carteiras dentro e fora da blockchain.
O incidente
No final da noite de sábado (13, UTC-3) a recém-lançada pool de liquidez do par iBTC/aUSD no dApp do Acala apresentou uma falha de mintagem de aUSD.
O bug foi agravado por usuários que exploraram a falha, mintando mais de 3 bilhões de tokens aUSD, o que proporcionou a perda do peg da stablecoin com o dólar americano.
A imensidão da perda do peg levou o preço do colateral iBTC (pareado ao preço do BTC) a custar pouco mais de US$ 1 bilhão de dólares.
Ao descobrir o problema o Acala paralisou praticamente todas as funcionalidades de seu dApp.
Com isto, praticamente 99% dos fundos entre aUSD e demais criptoativos trocados ficaram presos dentro da blockchain.
Logo em seguida a equipe iniciou uma varredura sobre as transações e localizou os principais endereços que armazenavam os fundos.
Relatório de Rastreamento de Incidentes #1
No primeiro relatório consta que foram identificados 16 endereços como tendo o aUSD cunhado erroneamente, e que reivindicaram estes fundos.
Estes usuários fizeram loops de swaps e investimentos dentro da pool de iBTC/aUSD, explorando o bug.
Nestes endereços de carteira havia pouco mais de 1,28 bilhões de aUSD.
Também havia mais 4,29 milhões de aUSD em recompensas presos dentro da pool, todos tokens cunhados errados que não haviam sido sacados como recompensa.
Primeira proposta comunitária
Diante das informações do relatório o perfil Dotverse entrou com a primeira proposta comunitária solicitando a recuperação destes fundos e devolução ao protocolo Honzon para serem destruídos.
A solicitação foi em caráter de urgência para amenizar a perda do peg da stablecoin.
A proposta foi colocada em votação para a comunidade que aprovou o referendo #21, e assim os tokens aUSD foram recuperados e destruídos.
No total, cerca de 1,29 bilhões de tokens foram destruídos.
Neste meio tempo a equipe solicitou à comunidade que formulassem propostas coletivamente para resolver o erro de cunhagem de aUSD e a saída de fundos.
Proposta de Referendo Acelerado
Umas das desenvolvedoras do protocolo, perfil Bette7, instaurou o referendo #23 que solicitou a atualização do tempo de execução para agilizar os referendos.
A proposta seguiu para votação, e solicitava de forma temporária a redução do período normal de votação do referendo de 5 dias para 1 dia; redução do período de promulgação de 48 horas para 8 horas, e encurtamento do período de lançamento do referendo de 5 dias para 1 dia.
Aprovado, o referendo permitiu que as medidas para a recuperação dos fundos fosse mais rápida visando a normalidade do peg e reestabelecimento dos serviços no dApp.
Relatório de Rastreamento de Incidentes #2
Em sequência às investigações a equipe divulgou o segundo relatório sobre o problema, onde mostrou que no total cerca de 3,022 bilhões de tokens aUSD foram cunhados de forma errada.
Além daqueles aproximados 1,29 bilhão de tokens identificados, recuperados e queimados, ainda havia mais 1,68 bilhões de tokens travados naqueles 16 endereços.
Segunda proposta comunitária
Diante do segundo relatório o perfil Cicada impetrou a segunda proposta comunitária onde alegou que houve “lucros obtidos com a reivindicação de moedas de erro de aUSD”, e por explorar a pool iBTC/aUSD “várias vezes para ganhar uma enorme participação de LP”.
“Também trocou tokens de erro para outros tokens, além de enviar ACA trocado para exchanges”, consta no referendo.
Diversas solicitações foram feitas na proposta, como a recuperação de tokens de LP e de tokens trocados em swap.
Mas em principal, solicitou a recuperação e a destruição dos pouco mais de 1,68 bilhões de aUSD mintados errados.
O referendo #24 foi aprovado pela comunidade e as solicitações propostas executadas.
Relatório de Rastreamento de Incidentes #3
O terceiro relatório de rastreio engloba aqueles 1% dos fundos que saíram do protocolo.
Estes fundos que somam pouco mais de 176 mil DOTs foram usados por 8 daqueles 16 endereços.
Destes, 41.999 foram enviados para algum endereço de fora do Acala, e pouco mais de 134 mil estavam na blockchain do Polkadot.
Sobre os tokens enviados para a exchange, não se tem muitas informações.
Sobre os que estão no Polkadot, a equipe do Acala solicitou publicamente a devolução, prometendo recompensa de 5% para quem devolver mais de 95% dos fundos.
Caso a solicitação não seja atendida, provavelmente a comunidade apresentará uma proposta de referendo solicitando a recuperação destes fundos.
Relatório de Rastreamento de Incidentes #4
Por fim, no que estima-se que tenha todas as perdas levantadas, a equipe identificou outros 10 endereços contendo cerca de 11,21 milhões de tokens aUSD cunhados erroneamente.
Terceira proposta comunitária
Com a apresentação deste quarto relatório foi feita a terceira proposta comunitária para a recuperação dos fundos.
A Proposta do perfil Hashstorm foi parcial, referente a 5 endereços em específicos que transacionaram tokens como o DOT e o iBTC.
A proposta de referendo #25 foi aprovada, e a comunidade já sinalizou estar analisando os demais tokens nos demais endereços para incluírem mais propostas de recuperação dos fundos.
Em breve aguarda-se o comunicado por parte da equipe do Acala de que os tokens foram recuperados e tomados seus devidos fins de acordo com a proposta.
Re-peg
O aUSD é pouco utilizado fora da rede Dotsama, portanto a liquidez em exchanges e o agregado de oráculos destorcem seu preço, de certa forma.
Enquanto em USDT na exchange Kucoin o preço havia perdido mais de 90% de seu peg, nos dApps do ecossistema foi em torno de 60%, e rapidamente.
No momento desta redação o par aUSD/USDT na exchange Kucoin ainda está fora do peg, cotado em 0,86 USDT.
Já dentro das DEX do ecossistema Dotsama o re-peg está mais próximo.
Em swap com outra stablecoin no dApp do Karura o Acala está cotado em 0,999 (USDT).
Por fim, cabe ressaltar que o dApp do Acala continua com a maior parte das funcionalidades travadas.
A blockchain continua funcionando normalmente e o stake de DOT na rede continua funcionando e pagando recompensas.
