Пратакол DeFi Sovryn пацярпеў ад эксплойту, скрадзены 1.1 мільёна долараў

Пратакол дэцэнтралізаванага фінансавання Sovryn, заснаваны на біткойнах, у аўторак пацярпеў ад сур'ёзнай атакі: хакер выцягнуў з пратаколу 1.1 мільёна долараў. 

Хакер выкарыстаў састарэлую функцыю, каб ачысціць пратакол, выкарыстоўваючы тэхніку маніпулявання цэнамі ў адным з пулаў крэдытавання пратакола. 

Дэталі ўзлому

Соўрын апублікаваў а блог з падрабязным апісаннем атакі, якая спецыяльна была накіравана на састарэлы пратакол Sovryn Borrow/Lend, што паўплывала на пулы крэдытавання RBTC і USDT. Атака дазволіла хакерам выцягнуць з пратаколу крыпты на суму больш за 1 мільён долараў, якая таксама ўключала 211,045 44.93 USDT і XNUMX RBTC. 

RBTC і USDT прывязаны да біткойна і даляра ЗША. У выпадку з Sovryn яны заснаваны на Rootstock (RSK), сайдчэйне біткойнаў, які прызначаны для пашырэння смарт-кантрактаў апошняга, дэцэнтралізаванага прыкладання (dApp) і магчымасцей маштабавання. Пратакол Sovryn пабудаваны на блокчейне RSK. Падрабязнасці ўзлому былі апублікаваны ў Твітэры праз @web3isgreat, які заявіў: 

«Пратакол DeFi, заснаваны на біткойнах, Sovryn, страціў 1 мільён долараў з-за атакі маніпуляцыі цэнамі. Эксплуататар змог выкарыстаць састарэлую функцыю пазыкі і пазыкі праекта, каб зламысна зняць 44.93 RBTC (~915,000 211,045 долараў) і XNUMX XNUMX долараў ЗША».

Зламыснік таксама выкарыстаў функцыю свопу AMM ад Sovryn, каб зняць частку сродкаў, што азначала, што яны атрымалі некалькі розных тыпаў токенаў. У паведамленні ў блогу таксама дадаецца, што намаганні па вяртанні сродкаў усё яшчэ працягваюцца. 

«Дзякуючы выкарыстоўванаму шматузроўневаму падыходу да бяспекі, распрацоўшчыкі змаглі ідэнтыфікаваць і вярнуць сродкі, калі зламыснік спрабаваў вывесці сродкі. На дадзены момант сумеснымі намаганнямі распрацоўшчыкам удалося вярнуць прыкладна палову кошту эксплойта».

Першы ўзлом Sovryn 

Па словах прэс-сакратара Sovryn Эдана Яго, эксплойт стаў першым у гісторыі паспяховым выкарыстаннем пратаколу за два гады яго працы. Далей ён падкрэсліў, што Sovryn, нягледзячы на ​​​​ўзлом, застаецца адной з сістэм DeFi, якія найбольш старанна правяраюцца, з некалькімі актыўнымі ўзнагародамі за памылкі. Эксплойт маніпуляваў цаной iToken ад Sovyrn, якія з'яўляюцца працэнтнымі токенамі, якія ўяўляюць долю крыпта, якую захоўвае карыстальнік у пуле крэдытавання. 

Як працаваў Exploit 

Хакер спачатку купіў WRBTC (Wrapped RBTC) праз флэш-своп на RskSwap. Пасля гэтага хакер пазычыў WRBTC з крэдытнага кантракту Sovryn, выкарыстоўваючы іх уласны XUSD у якасці закладу. Паведамленне ў блогу ўдакладняецца далей, 

«Затым зламыснік забяспечыў ліквіднасць крэдытнага кантракту RBTC, закрыў сваю пазыку свопам з выкарыстаннем закладу XUSD, выкупіў (спаліў) свой токен iRBTC і адправіў WRBTC назад у RskSwap для завяршэння флэш-свопу».

Гэты працэс дапамог хакеру маніпуляваць цаной iToken, што дазволіла ім вывесці больш RBTC з пула мэтавага крэдытавання, чым было першапачаткова ўнесена. Тым не менш, Соўрын заявіў, што ўзлом ніякім чынам не паўплываў на сродкі карыстальнікаў і што любая страчаная сума з крэдытных пулаў будзе кампенсавана праз казначэйства Соўрын. 

Што далей? 

Саўрын таксама праліць святло на тое, як пратакол будзе вырашаць праблему ў далейшым. У паведамленні ў блогу кампанія заявіла, што спробы вярнуць актывы хакера будуць працягвацца і будзе пачата поўнае расследаванне эксплойта. Каманда Sovryn таксама працуе над планам вяртання сістэмы да поўнай функцыянальнасці. Аднак ён дадаў, што рэжым тэхнічнага абслугоўвання будзе заставацца ў сіле, пакуль не будзе поўнай упэўненасці ў бяспецы сістэмы. Ён таксама дадаў, што пасля завяршэння расследавання таксама будзе апублікаваны пасмяротны даклад.

Адмова: Гэты артыкул прадастаўлены толькі ў інфармацыйных мэтах. Ён не прапануецца і не прызначаны для выкарыстання ў якасці юрыдычнай, падатковай, інвестыцыйнай, фінансавай ці іншай кансультацыі.