Protocolul Bitcoin Defi Sovryn este piratat pentru peste 1 milion de dolari

Sovryn – un protocol de finanțare descentralizat bazat pe Bitcoin – a fost epuizat de peste 1 milion de dolari în fonduri marți, folosind un exploit de manipulare a prețurilor. 

Atacul i-a permis vinovatului să scurgă criptografii în valoare de peste 1 milion de dolari din protocol, inclusiv 44.93 RBTC și 211,045 USDT.

Primul Hack al lui Sovryn

Potrivit lui Sovryn blog pe această temă, atacurile au vizat în mod special protocolul Sovryn Borrow/Lend. A afectat fondurile de creditare RBTC și USDT. 

RBTC și USDT sunt prețul activelor cripto legate de Bitcoin și, respectiv, de dolari americani. În acest caz, ele circulă pe Rootstock (RSK), un sidechain Bitcoin menit să extindă contractul inteligent al Bitcoin, Dapp, și capabilități de scalare. Sovryn este un protocol Defi construit pe RSK. 

Unele dintre fonduri au fost aparent retrase folosind funcția de schimb AMM a lui Sovryn, ceea ce înseamnă că atacatorul a ajuns să aibă mai multe jetoane diferite. Efortul de recuperare a fondurilor este încă în desfășurare. 

„Datorită abordării de securitate pe mai multe straturi adoptate, dezvoltatorii au putut să identifice și să recupereze fonduri în timp ce atacatorul încerca să retragă fondurile”, se arată în postare. „În acest moment, printr-un efort combinat, dezvoltatorii au reușit să recupereze aproximativ jumătate din valoarea exploit-ului.”

Purtătorul de cuvânt al Sovryn, Edan Yago, a declarat că aceasta este prima exploatare de succes împotriva protocolului după doi ani de funcționare. El menținut că Sovryn este „una dintre cele mai grele auditate Defi systems”, cu recompense valoroase și active pentru erori. 

Exploatarea a funcționat prin manipularea prețului iToken-ului Sovryn – jetoane purtătoare de dobândă reprezentând cota de criptomonedă pe care un utilizator o deține într-un pool de creditare. Prețul acestui token este actualizat de fiecare dată când interacționează cu o poziție de creditare. 

Cum au fost drenate fondurile

Mai întâi, atacatorul a cumpărat WRBTC (wrapped RBTC) folosind un flash swap în RskSwap. Apoi, a împrumutat WRBTC suplimentar din contractul de împrumut al lui Sovryn folosind propriul său XUSD (o altă monedă stabilă) ca garanție. 

„Atacatorul a furnizat apoi lichiditate contractului de împrumut RBTC, și-a încheiat împrumutul cu un swap folosind garanția XUSD, și-a răscumpărat (ars) jetonul iRBTC și a trimis WRBTC înapoi la RskSwap pentru a finaliza schimbul rapid”, a continuat postarea. 

Întregul proces a manipulat prețul iToken-ului astfel încât atacatorul să poată retrage mult mai mult RBTC din fondul de creditare decât a fost depus inițial. 

Sovryn a clarificat că fondurile utilizatorilor nu au fost afectate de hack. Orice valoare lipsă din fondurile de creditare va fi reinjectată de către Trezoreria Sovryn.