Bitcoin tabanlı merkezi olmayan bir finans protokolü olan Sovryn, Salı günü bir fiyat manipülasyonu istismarı kullanılarak 1 milyon doların üzerinde fon boşaltıldı. 

Saldırı, suçlunun 1 RBTC ve 44.93 USDT dahil olmak üzere protokolden 211,045 milyon doların üzerinde kriptoyu boşaltmasına izin verdi.

Sovryn'in İlk Hack'i

Sovryn'e göre blog yazısı Konuyla ilgili olarak, saldırılar özellikle eski Sovryn Borrow/Lend protokolünü hedef aldı. RBTC ve USDT kredi havuzlarını etkiledi. 

RBTC ve USDT, sırasıyla Bitcoin ve ABD dolarına sabitlenmiş kripto varlık fiyatlarıdır. Bu durumda, Bitcoin'in akıllı sözleşmesini genişletmeyi amaçlayan bir Bitcoin yan zinciri olan Rootstock (RSK) üzerinde dolaşıyorlar. Dapp, ve ölçekleme yetenekleri. Sovryn, RSK üzerine kurulu bir Defi protokolüdür. 

Görünüşe göre fonların bir kısmı Sovryn'in AMM takas işlevi kullanılarak geri çekildi, bu da saldırganın birkaç farklı jetonla sonuçlandığı anlamına geliyor. Fonların geri alınmasına yönelik çabalar halen devam etmektedir. 

Gönderide, "Alınan çok katmanlı güvenlik yaklaşımı nedeniyle, geliştiriciler, saldırgan fonları geri çekmeye çalışırken fonları tespit edip kurtarabildi" deniyor. "Bu noktada, ortak bir çabayla geliştiriciler, istismarın değerinin yaklaşık yarısını kurtarmayı başardılar."

Sovryn sözcüsü Edan Yago, bunun iki yıllık operasyonun ardından protokole karşı ilk başarılı saldırı olduğunu söyledi. O devam Sovryn, “en ağır denetlenmiş Defi sistemleri”, değerli ve aktif hata ödülleri ile. 

İstismar, Sovryn'in iToken fiyatını manipüle ederek çalıştı - bir kullanıcının bir borç verme havuzunda sahip olduğu kripto para biriminin payını temsil eden faiz getiren jetonlar. Bu jetonun fiyatı, bir borç verme havuzu pozisyonuyla her etkileşimde bulunulduğunda güncellenir. 

Fonlar Nasıl Çekildi?

İlk olarak, saldırgan RskSwap'ta bir flash takas kullanarak WRBTC (sarılmış RBTC) satın aldı. Ardından, kendi XUSD'sini (başka bir stablecoin) teminat olarak kullanarak Sovryn'in borç verme sözleşmesinden ek WRBTC ödünç aldı. 

"Saldırgan daha sonra RBTC kredi sözleşmesine likidite sağladı, XUSD teminatını kullanarak bir takas ile kredisini kapattı, iRBTC jetonlarını kullandı (yaktı) ve flash takası tamamlamak için WRBTC'yi RskSwap'a geri gönderdi." 

Tüm süreç, saldırganın borç verme havuzundan ilk yatırıldığından çok daha fazla RBTC çekebilmesi için iToken fiyatını manipüle etti. 

Sovryn, kullanıcı fonlarının saldırıdan etkilenmediğini açıkladı. Borç verme havuzlarındaki herhangi bir eksik değer, Sovryn hazinesi olan Exchequer tarafından yeniden enjekte edilecektir.