Bitcoin Defi Protocol Sovryn hakiran za više od milijun dolara

Sovrynu – decentraliziranom financijskom protokolu temeljenom na Bitcoinu – u utorak je oduzeto više od milijun dolara sredstava korištenjem manipulacije cijenama. 

Napad je krivcu omogućio da iz protokola iscrpi kriptovalute u vrijednosti od više od milijun dolara, uključujući 1 RBTC i 44.93 211,045 USDT.

Sovrynov prvi hack

Prema Sovrynovoj blog post na temu, napadi su posebno ciljali naslijeđeni Sovryn Borrow/Lend protokol. To je utjecalo na skupove zajmova RBTC i USDT. 

RBTC i USDT su cijene kripto imovine vezane za Bitcoin odnosno američke dolare. U ovom slučaju, oni cirkuliraju na Rootstocku (RSK), bočnom lancu Bitcoina namijenjenom proširenju pametnog ugovora Bitcoina, dapp, te mogućnosti skaliranja. Sovryn je Defi protokol izgrađen na RSK. 

Neka su sredstva očito povučena korištenjem Sovrynove AMM swap funkcije, što znači da je napadač završio s nekoliko različitih tokena. Napori za povrat sredstava još uvijek su u tijeku. 

"Zahvaljujući primjeni višeslojnog sigurnosnog pristupa, programeri su uspjeli identificirati i povratiti sredstva dok je napadač pokušavao povući sredstva", stoji u objavi. "U ovom trenutku, zajedničkim naporima, razvojni programeri uspjeli su povratiti otprilike polovicu vrijednosti exploita."

Glasnogovornik Sovryna Edan Yago rekao je da je ovo prvi uspješni napad protiv protokola nakon dvije godine rada. On održavati da je Sovryn “jedan od najteže revidirana Defi sustavi,” s vrijednim i aktivnim nagradama za bugove. 

Eksploatacija je funkcionirala manipulirajući cijenom iTokena Sovryna – tokena s kamatama koji predstavljaju udio kriptovalute koju korisnik drži u skupu zajmova. Cijena ovog tokena ažurira se svaki put kada se stupi u interakciju s pozicijom skupa zajmova. 

Kako su se sredstva iscrpljivala

Prvo je napadač kupio WRBTC (zamotani RBTC) koristeći flash swap u RskSwapu. Zatim je posudio dodatni WRBTC iz Sovrynova ugovora o zajmu koristeći vlastiti XUSD (još jedan stablecoin) kao kolateral. 

“Napadač je zatim osigurao likvidnost ugovoru o pozajmljivanju RBTC-a, zatvorio njihov zajam swapom koristeći njihov XUSD kolateral, otkupio (spalio) njihov iRBTC token i poslao WRBTC natrag u RskSwap da dovrši flash swap”, nastavlja post. 

Cijeli proces manipulirao je cijenom iTokena tako da je napadač mogao povući mnogo više RBTC-a iz fonda za pozajmljivanje nego što je prvo položeno. 

Sovryn je pojasnio da hakiranje nije utjecalo na sredstva korisnika. Svaku vrijednost koja nedostaje iz fondova pozajmljivanja ponovno će ubrizgati Državna blagajna – Sovrynova riznica.