Protokolli i Bitcoin Defi Sovryn hakerohet për mbi 1 milion dollarë

Sovryn – një protokoll financimi i decentralizuar i bazuar në Bitcoin – u hodh mbi 1 milion dollarë në fonde të martën duke përdorur një shfrytëzim të manipulimit të çmimeve. 

Sulmi i lejoi fajtorit të kullonte kripto me vlerë mbi 1 milion dollarë nga protokolli, duke përfshirë 44.93 RBTC dhe 211,045 USDT.

Hakimi i parë i Sovryn

Sipas Sovryn's blog post në këtë temë, sulmet synonin në mënyrë specifike protokollin e trashëgimisë Sovryn Borrow/Lend. Ajo ndikoi në grupet e huadhënies RBTC dhe USDT. 

RBTC dhe USDT janë çmimi i aseteve kripto të lidhura përkatësisht me Bitcoin dhe dollarë amerikanë. Në këtë rast, ato qarkullojnë në Rootstock (RSK), një zinxhir anësor Bitcoin që synon të zgjerojë kontratën inteligjente të Bitcoin, DAPP, dhe aftësitë e shkallëzimit. Sovryn është një protokoll Defi i ndërtuar në RSK. 

Disa nga fondet me sa duket u tërhoqën duke përdorur funksionin e shkëmbimit AMM të Sovryn, që do të thotë se sulmuesi përfundoi me disa argumente të ndryshme. Përpjekjet për rikuperimin e fondeve janë ende në vazhdim. 

“Për shkak të qasjes së sigurisë me shumë shtresa, zhvilluesit ishin në gjendje të identifikonin dhe rikuperonin fondet ndërsa sulmuesi po përpiqej të tërhiqte fondet,” thuhet në postim. "Në këtë pikë, përmes një përpjekjeje të kombinuar, zhvilluesit kanë arritur të rikuperojnë rreth gjysmën e vlerës së shfrytëzimit."

Zëdhënësi i Sovryn, Edan Yago tha se ky është shfrytëzimi i parë i suksesshëm kundër protokollit pas dy vitesh funksionimi. Ai ruajtur se Sovryn është “një nga më të rëndat audituar Sistemet Defi, me dhurata të vlefshme dhe aktive të gabimeve. 

Shfrytëzimi funksionoi duke manipuluar çmimin iToken të Sovryn - argumentet me interes që përfaqësojnë pjesën e kriptomonedhës që një përdorues mban në një pishinë huadhënieje. Çmimi i këtij token përditësohet sa herë që ndërveprohet me një pozicion huadhënieje. 

Si u shpenzuan fondet

Së pari, sulmuesi bleu WRBTC (RBTC i mbështjellë) duke përdorur një shkëmbim flash në RskSwap. Më pas, ai huazoi WRBTC shtesë nga kontrata e huadhënies së Sovryn duke përdorur XUSD-në e tij (një tjetër monedhë stabile) si kolateral. 

“Sulmuesi më pas siguroi likuiditet në kontratën e huadhënies RBTC, mbylli kredinë e tyre me një shkëmbim duke përdorur kolateralin e tyre XUSD, blinte (djegoi) tokenin e tyre iRBTC dhe e dërgoi WRBTC përsëri në RskSwap për të përfunduar shkëmbimin flash,” vazhdoi postimi. 

I gjithë procesi manipuloi çmimin iToken në mënyrë që sulmuesi të mund të tërhiqte shumë më tepër RBTC nga grupi i huadhënies sesa ishte depozituar fillimisht. 

Sovryn sqaroi se fondet e përdoruesve nuk janë prekur nga hakimi. Çdo vlerë që mungon nga grupet e huadhënies do të riinjektohet nga Thesari i Sovryn-it.