پروتکل بیت کوین Defi Sovryn بیش از 1 میلیون دلار هک می شود

Sovryn - یک پروتکل مالی غیرمتمرکز مبتنی بر بیت کوین - روز سه شنبه با استفاده از یک سوء استفاده از دستکاری قیمت، بیش از 1 میلیون دلار وجوه تخلیه شد. 

این حمله به مجرم اجازه داد تا بیش از 1 میلیون دلار رمزارز را از پروتکل خارج کند، از جمله 44.93 RBTC و 211,045 USDT.

اولین هک Sovryn

با توجه به Sovryn's پست های وبلاگ در مورد این موضوع، حملات به طور خاص پروتکل قدیمی Sovryn Borrow/Lend را هدف قرار دادند. این بر استخرهای وام دهی RBTC و USDT تأثیر گذاشت. 

RBTC و USDT قیمت دارایی های کریپتو هستند که به ترتیب با بیت کوین و دلار آمریکا مرتبط هستند. در این مورد، آنها در Rootstock (RSK)، یک زنجیره جانبی بیت کوین که به منظور گسترش قرارداد هوشمند بیت کوین است، گردش می کنند. dapp، و قابلیت های مقیاس بندی. Sovryn یک پروتکل Defi است که بر روی RSK ساخته شده است. 

ظاهراً برخی از وجوه با استفاده از تابع مبادله AMM Sovryn برداشته شده است، به این معنی که مهاجم با چندین توکن مختلف به پایان رسید. تلاش برای بازیابی وجوه هنوز ادامه دارد. 

در این پست آمده است: "با توجه به رویکرد امنیتی چند لایه اتخاذ شده، توسعه دهندگان توانستند وجوه را شناسایی و بازیابی کنند، زیرا مهاجم در تلاش برای برداشت وجوه بود." در این مرحله، توسعه‌دهندگان با تلاشی ترکیبی توانسته‌اند حدود نیمی از ارزش اکسپلویت را بازیابی کنند.»

ادان یاگو، سخنگوی Sovryn گفت که این اولین سوء استفاده موفق در برابر پروتکل پس از دو سال عملیات است. او حفظ که Sovryn "یکی از سنگین ترین است حسابرسی سیستم‌های Defi، با پاداش‌های باگ ارزشمند و فعال. 

این اکسپلویت با دستکاری قیمت iToken Sovryn - توکن‌های بهره‌دار که نشان‌دهنده سهم ارز رمزنگاری شده توسط کاربر در یک استخر وام است، کار می‌کند. قیمت این توکن هر بار که موقعیت استخر وام با آن تعامل می شود، به روز می شود. 

چگونه بودجه تخلیه شد

ابتدا، مهاجم WRBTC (RBTC پیچیده) را با استفاده از تعویض فلش در RskSwap خریداری کرد. سپس، WRBTC اضافی را از قرارداد وام Sovryn با استفاده از XUSD (یکی دیگر از کوین های پایدار) خود به عنوان وثیقه قرض گرفت. 

در ادامه این پست، مهاجم نقدینگی را به قرارداد وام RBTC ارائه کرد، وام خود را با سوآپ با استفاده از وثیقه XUSD خود بست، توکن iRBTC خود را بازخرید (سوزانید) و WRBTC را برای تکمیل مبادله فلش به RskSwap فرستاد. 

کل فرآیند قیمت iToken را به گونه‌ای دستکاری کرد که مهاجم می‌توانست مقدار بسیار بیشتری RBTC را از استخر وام‌دهی برداشت کند. 

Sovryn تصریح کرد که وجوه کاربران تحت تأثیر این هک قرار نگرفته است. هر گونه ارزش گمشده از استخرهای وام دهی مجدداً توسط خزانه - خزانه Sovryn تزریق می شود.