El 1 de enero de 2022, Tinyman — el principal AMM en Algorand — perdió aproximadamente $3 millones mediante un fallo en cómo su lógica de swap/burn manejaba ciertas operaciones de tokens de pool, permitiendo a un atacante extraer activos a tasas no intencionadas en muchos pools. Los imitadores se unieron una vez que la técnica fue visible.
Qué ocurrió
La ruta de redención/swap de tokens de pool de Tinyman podía ser invocada de una manera que devolvía más subyacente del que la operación justificaba. El atacante (e imitadores) drenaron múltiples pools (~$3M) antes de que Tinyman aconsejara a los usuarios retirar y migrara a una v1.1 parcheada.
Por qué importa
Tinyman es la entrada principal del catálogo en Algorand, reforzando — en una cadena no EVM con una VM diferente (AVM/TEAL) — que la matemática de swap/redención de AMM es un peligro independiente de la cadena. TEAL de Algorand es un modelo de ejecución muy diferente del EVM, sin embargo el fallo es reconocible: una operación que devuelve más valor del que debería bajo una entrada específica. La lección se generaliza más allá de Solidity: el problema del invariante AMM bajo entrada adversarial trata de matemática y economía, no de una VM particular, y el AMM insignia de cada cadena tiende a aprenderlo de la misma manera.
Fuentes y evidencia on-chain
- [01]halborn.comhttps://www.halborn.com/blog/post/explained-the-tinyman-hack-january-2022
- [02]cryptopotato.comhttps://cryptopotato.com/3-million-lost-as-an-algorand-based-decentralized-trading-platform-exploited/
- [03]beincrypto.comhttps://beincrypto.com/algorand-based-tinyman-amm-exploited-for-3-million/