Bitcoin Defi Protocol Sovryn wordt gehackt voor meer dan $ 1 miljoen

Sovryn - een op Bitcoin gebaseerd gedecentraliseerd financieringsprotocol - werd dinsdag meer dan $ 1 miljoen aan fondsen onttrokken met behulp van een prijsmanipulatie-exploit. 

Door de aanval kon de dader meer dan $ 1 miljoen aan crypto uit het protocol halen, waaronder 44.93 RBTC en 211,045 USDT.

Sovryns eerste hack

Volgens Sovryn's blogpost over dit onderwerp waren de aanvallen specifiek gericht op het oude Sovryn Borrow/Lend-protocol. Het had een impact op de RBTC- en USDT-leningspools. 

RBTC en USDT zijn crypto-activa die in prijs zijn gekoppeld aan respectievelijk Bitcoin en Amerikaanse dollars. In dit geval circuleren ze op Rootstock (RSK), een Bitcoin-zijketen bedoeld om het slimme contract van Bitcoin uit te breiden, Dappen schaalmogelijkheden. Sovryn is een Defi-protocol gebouwd op RSK. 

Een deel van het geld is blijkbaar opgenomen met behulp van Sovryn's AMM-swapfunctie, wat betekent dat de aanvaller verschillende tokens heeft gekregen. De inspanningen om de gelden terug te vorderen zijn nog steeds aan de gang. 

"Dankzij de gelaagde beveiligingsaanpak waren ontwikkelaars in staat om geld te identificeren en terug te krijgen terwijl de aanvaller probeerde het geld op te nemen", luidt het bericht. "Op dit moment zijn ontwikkelaars er door een gezamenlijke inspanning in geslaagd om ongeveer de helft van de waarde van de exploit te herstellen."

Sovryn-woordvoerder Edan Yago zei dat dit de eerste succesvolle exploit tegen het protocol is na twee jaar gebruik. Hij onderhouden dat Sovryn "een van de zwaarste" is gecontroleerd Defi systems”, met waardevolle en actieve bug bounties. 

De exploit werkte door de iToken-prijs van Sovryn te manipuleren - rentedragende tokens die het aandeel cryptocurrency vertegenwoordigen dat een gebruiker in een uitleenpool heeft. De prijs van dit token wordt bijgewerkt telkens wanneer er interactie is met een uitleenpoolpositie. 

Hoe de fondsen werden afgevoerd

Eerst kocht de aanvaller WRBTC (wrapped RBTC) met behulp van een flash-swap in RskSwap. Vervolgens leende hij extra WRBTC van Sovryn's leencontract met zijn eigen XUSD (een andere stablecoin) als onderpand. 

"De aanvaller verstrekte vervolgens liquiditeit aan het RBTC-leencontract, sloot hun lening af met een swap met behulp van hun XUSD-onderpand, verzilverde (verbrandde) hun iRBTC-token en stuurde de WRBTC terug naar RskSwap om de flash-swap te voltooien", vervolgde de post. 

Het hele proces manipuleerde de iToken-prijs zodanig dat de aanvaller veel meer RBTC uit de uitleenpool kon opnemen dan eerst was gestort. 

Sovryn verduidelijkte dat gebruikersfondsen niet zijn aangetast door de hack. Elke ontbrekende waarde uit de kredietpools zal opnieuw worden geïnjecteerd door Financiën - de schatkist van Sovryn.