Sovryn, пратакол DeFi, заснаваны на біткойнах, губляе крыптаграфію на суму каля 1 мільёна долараў ад кібер-зламыснікаў у выніку ўзлому маніпуляцыі цэнамі. Зламыснік(-і) дасягнуў(-ліся) гэтага, выкарыстоўваючы ўразлівасць, выяўленую ў састарэлым пратаколе Sovryn Lend/Borrow.
Саўрын страціў хакерам 1 мільён даляраў
Здаецца, хакеры лютуюць, і іх мішэнню з'яўляюцца акаўнты на аснове крыпта. З пачатку гэтага года мы фіксуем вялікую колькасць нападаў на крыпта-ўстановы. У мінулым месяцы крыптасупольнасць стала сведкам некалькіх нападаў, адна з самых буйных - $Узлом 160 Million Wintermute. Зусім нядаўна, 3 чысла гэтага месяца, мы прачыталі Страты TransitSwap склалі 21 мільён долараў да кіберзлачынцаў. На жаль, Соўрын з'яўляецца апошняй мішэнню кібер-зламыснікаў.
У першыя гадзіны 4-га гэтага месяца Sovryn, пастаўшчык дэцэнтралізаванага фінансавання (DeFi) на аснове біткойнаў, абвясціў аб узломе сваёй платформы кібер-зламыснікам. Выкарыстоўваючы шчыліны ў аплатнай сістэме Sovryn, хакер скраў криптовалюту на суму каля 1 мільёна долараў, уключаючы 44.93 RBTC і 211,045 XNUMX USDT.
Як гэта здарылася
У адпаведнасці з прэс-рэліз на Соврын сайт, які змяшчае абнаўленні аб узломе, хакер выкарыстаў маніпуляцыю цаной iToken. Кошт токена абнаўляецца кожны раз, калі ён узаемадзейнічае з адной з пазіцый пула крэдытавання.
Спачатку хакеры набылі WRBTC з дапамогай флэш-свопу ў RskSwap, затым, выкарыстоўваючы ўласныя XUSD у якасці закладу, зламыснікі змаглі пазычыць WRBTC з дагавора крэдытавання RBTC Sovryn. Затым хакер забяспечыў ліквіднасць крэдытнага кантракту RBTC, закрыў іх пазыку свопам з закладам XUSD, выкупіў іх токен iRBTC, а затым адправіў WRBTC назад у RskSwap для завяршэння флэш-свопу.
Хакер зняў частку скрадзеных сродкаў з дапамогай функцыі абмену AMM, атрымаўшы некалькі розных токенаў.
Усе гэтыя дзеянні маніпулявалі цаной iRBTC, дазваляючы хакерам атрымаць значна больш RBTC, чым яны першапачаткова ўклалі.
Палова выкрадзенай сумы вернутая
Па словах Sovryn, шэраг незвычайных дзеянняў быў выяўлены распрацоўшчыкамі Sovryn, і сістэма была неадкладна пераведзена ў рэжым абслугоўвання, што абмяжоўвае далейшыя транзакцыі. Гэта дало распрацоўшчыкам час для вывучэння праблемы.
У выніку прыняцця шматузроўневага падыходу да бяспекі распрацоўшчыкі змаглі ідэнтыфікаваць і вярнуць сродкі, калі хакер спрабаваў вывесці скрадзеныя сродкі.
Па стане на 4 верасня Соўрын заяўляў, што «работы па вяртанні сродкаў працягваюцца. На дадзены момант сумеснымі намаганнямі распрацоўшчыкам удалося вярнуць прыкладна палову кошту эксплойта. Праца па вяртанні сродкаў яшчэ працягваецца».
на яго Twitter старонку, учора Соврин заявіў, што яны працуюць над паступовым аднаўленнем функцыянальнасці сістэмы, пачынаючы з AMM, FastBTC і Zero.
Рух наперад
У сваім прэс-рэлізе Соўрын запэўніў, што сродкі карыстальнікаў не знаходзяцца пад пагрозай і што казначэйства будзе «паўторна ўвесці любое адсутнае значэнне ў пулы крэдытавання».
Забягаючы наперад, Соўрын акрэсліў некалькі мерапрыемстваў пасля нападу. Намаганні па аднаўленні актываў будуць працягвацца, і будзе завершана поўнае расследаванне эксплойта. Акрамя таго, Sovryn распрацоўвае план па вяртанні сістэмы да поўнай функцыянальнасці, але рэжым абслугоўвання будзе адменены толькі тады, калі будзе ўпэўненасць у бяспецы сістэмы. Поўны пасмяротны аналіз будзе апублікаваны, і высновы будуць задакументаваны для далейшага паляпшэння.
Крыніца: https://crypto.news/hackers-strike-about-1-million-stolen-from-bitcoin-defi-protocol-sovryn-via-itoken-price-manipulation/