Protokol Bitcoin Defi Sovryn je prejel vdor za več kot 1 milijon dolarjev

Sovryn – decentralizirani finančni protokol, ki temelji na bitcoinih – je bil v torek izčrpan za več kot 1 milijon dolarjev sredstev z uporabo manipulacije cen. 

Napad je krivcu omogočil, da je iz protokola črpal kripto v vrednosti več kot milijon dolarjev, vključno s 1 RBTC in 44.93 USDT.

Sovrynov prvi vdor

Po Sovrynovem blog post na to temo so bili napadi posebej usmerjeni na stari protokol Sovryn Borrow/Lend. Vplivalo je na posojilna združenja RBTC in USDT. 

RBTC in USDT sta cena kripto sredstev, vezana na Bitcoin oziroma ameriške dolarje. V tem primeru krožijo na Rootstocku (RSK), stranski verigi Bitcoina, namenjeni razširitvi pametne pogodbe Bitcoina, dappin zmožnosti skaliranja. Sovryn je protokol Defi, zgrajen na RSK. 

Nekatera sredstva so bila očitno dvignjena z uporabo Sovrynove funkcije zamenjave AMM, kar pomeni, da je napadalec dobil več različnih žetonov. Prizadevanja za izterjavo sredstev še vedno potekajo. 

"Zaradi uporabljenega večplastnega varnostnega pristopa so razvijalci lahko identificirali in povrnili sredstva, ko je napadalec poskušal dvigniti sredstva," se glasi objava. "Na tej točki je s skupnimi prizadevanji razvijalcem uspelo povrniti približno polovico vrednosti izkoriščanja."

Tiskovni predstavnik Sovryn Edan Yago je dejal, da je to prvi uspešen napad proti protokolu po dveh letih delovanja. On vzdrževati da je Sovryn »eden najtežjih revidiranih Defi sistemi,« z dragocenimi in aktivnimi nagradami za napake. 

Izkoriščanje je delovalo tako, da je manipuliralo s ceno Sovrynovega iTokena – obrestovanih žetonov, ki predstavljajo delež kriptovalute, ki jo ima uporabnik v posojilnem bazenu. Cena tega žetona se posodobi vsakič, ko pride do interakcije s pozicijo posojilnega sklada. 

Kako so se črpala sredstva

Najprej je napadalec kupil WRBTC (zavit RBTC) z uporabo bliskovne zamenjave v RskSwap. Nato si je iz Sovrynove posojilne pogodbe izposodil dodaten WRBTC z uporabo lastnega XUSD (še en stabilni coin) kot zavarovanje. 

»Napadalec je nato zagotovil likvidnost posojilni pogodbi RBTC, zaprl njihovo posojilo z zamenjavo z uporabo njihovega zavarovanja s premoženjem XUSD, unovčil (zažgal) njihov žeton iRBTC in poslal WRBTC nazaj v RskSwap, da dokonča bliskovito zamenjavo,« se je nadaljevala objava. 

Celoten postopek je manipuliral s ceno iTokena, tako da je lahko napadalec dvignil veliko več RBTC iz posojilnega sklada, kot je bilo prvotno deponirano. 

Sovryn je pojasnil, da vdor ni prizadel sredstev uporabnikov. Kakršno koli manjkajočo vrednost iz posojilnih skladov bo ponovno vložila državna blagajna – zakladnica Sovryn.