„Bitcoin Defi“ protokolas „Sovryn“ buvo nulaužtas už daugiau nei 1 mln

„Sovryn“ – Bitcoin pagrindu sukurtas decentralizuoto finansavimo protokolas – antradienį buvo nusausintas daugiau nei 1 mln. USD, naudojant manipuliavimą kainomis. 

Išpuolis leido kaltininkui nusausinti daugiau nei 1 milijono dolerių vertės kriptovaliutą iš protokolo, įskaitant 44.93 RBTC ir 211,045 XNUMX USD.

Pirmasis Sovryno įsilaužimas

Anot Sovryno dienoraštyje šia tema, atakos buvo nukreiptos būtent į senąjį Sovryno skolinimosi/paskolinimo protokolą. Tai paveikė RBTC ir USDT skolinimo fondus. 

RBTC ir USDT yra kriptovaliutų turto kaina, atitinkamai susieta su Bitcoin ir JAV doleriais. Šiuo atveju jie platinami „Rootstock“ (RSK), „Bitcoin“ šoninėje grandinėje, skirta išplėsti „Bitcoin“ išmaniąją sutartį, DAPPir mastelio keitimo galimybes. „Sovryn“ yra „Defi“ protokolas, sukurtas remiantis RSK. 

Kai kurios lėšos, matyt, buvo atimtos naudojant Sovryno AMM apsikeitimo funkciją, o tai reiškia, kad užpuolikas gavo kelis skirtingus žetonus. Pastangos susigrąžinti lėšas vis dar tęsiamos. 

„Dėl daugiasluoksnio saugumo metodo kūrėjai sugebėjo atpažinti ir atgauti lėšas, kai užpuolikas bandė atsiimti lėšas“, – rašoma pranešime. „Šiuo metu bendromis pastangomis kūrėjai sugebėjo susigrąžinti maždaug pusę išnaudojimo vertės.

„Sovryn“ atstovas spaudai Edanas Yago sakė, kad tai pirmasis sėkmingas protokolo išnaudojimas po dvejų veiklos metų. Jis palaikoma kad Sovrynas yra „vienas iš sunkiausių audituotas Defi sistemos“, su vertingomis ir aktyviomis klaidų dovanomis. 

Išnaudojimas buvo atliktas manipuliuojant Sovryno iToken kaina – palūkanas duodančiais žetonais, atspindinčiais kriptovaliutos dalį, kurią vartotojas turi skolinimo fonde. Šio prieigos rakto kaina atnaujinama kiekvieną kartą, kai sąveikaujama su skolinimo telkinio pozicija. 

Kaip buvo nusausintos lėšos

Pirmiausia užpuolikas nusipirko WRBTC (apvyniotą RBTC), naudodamas „flash swap“ RskSwap. Tada jis pasiskolino papildomą WRBTC iš Sovryno skolinimo sutarties, naudodamas savo XUSD (kitą stabilią monetą) kaip užstatą. 

„Tada užpuolikas suteikė likvidumą RBTC skolinimo sutarčiai, uždarė paskolą apsikeitimo sandoriu, naudodamas XUSD užstatą, išpirko (sudegino) savo iRBTC žetoną ir nusiuntė WRBTC atgal į RskSwap, kad užbaigtų greitą apsikeitimą“, – tęsiamas įrašas. 

Viso proceso metu buvo manipuliuojama iToken kaina taip, kad užpuolikas iš skolinimo fondo galėjo išimti daug daugiau RBTC, nei buvo įnešta iš pradžių. 

Sovrynas paaiškino, kad įsilaužimas nepaveikė vartotojų lėšų. Bet kokią trūkstamą vertę iš skolinimo fondų grąžins Iždas – Sovryno iždas.