Bitcoin Defi Protocol Sovryn Diretas Lebih dari $1 Juta

Sovryn – protokol keuangan terdesentralisasi berbasis Bitcoin – menghabiskan lebih dari $ 1 juta dana pada hari Selasa menggunakan eksploitasi manipulasi harga. 

Serangan itu memungkinkan pelakunya untuk menguras lebih dari $ 1 juta crypto dari protokol, termasuk 44.93 RBTC dan 211,045 USDT.

Peretasan Pertama Sovryn

Menurut Sovryn's posting blog pada topik, serangan secara khusus menargetkan protokol Sovryn Borrow/Lend yang lama. Ini memengaruhi kumpulan pinjaman RBTC dan USDT. 

RBTC dan USDT adalah harga aset kripto yang dipatok masing-masing ke Bitcoin dan dolar AS. Dalam hal ini, mereka beredar di Rootstock (RSK), sebuah sidechain Bitcoin yang dimaksudkan untuk memperluas kontrak pintar Bitcoin, dapp, dan kemampuan penskalaan. Sovryn adalah protokol Defi yang dibangun di atas RSK. 

Beberapa dana tampaknya ditarik menggunakan fungsi swap AMM Sovryn, yang berarti penyerang berakhir dengan beberapa token yang berbeda. Upaya pengembalian dana masih terus dilakukan. 

“Karena pendekatan keamanan berlapis yang diambil, pengembang dapat mengidentifikasi dan memulihkan dana saat penyerang berusaha menarik dana tersebut,” tulis postingan tersebut. “Pada titik ini, melalui upaya gabungan, para pengembang telah berhasil memulihkan sekitar setengah dari nilai eksploitasi.”

Juru bicara Sovryn Edan Yago mengatakan ini adalah eksploitasi pertama yang berhasil terhadap protokol setelah dua tahun beroperasi. Dia dipertahankan bahwa Sovryn adalah "salah satu yang paling berat" diaudit Sistem defi,” dengan hadiah bug yang berharga dan aktif. 

Eksploitasi bekerja dengan memanipulasi harga iToken Sovryn – token berbunga yang mewakili bagian mata uang kripto yang dimiliki pengguna dalam kumpulan pinjaman. Harga token ini diperbarui setiap kali posisi pool pinjaman berinteraksi. 

Bagaimana Dana Dikuras

Pertama, penyerang membeli WRBTC (terbungkus RBTC) menggunakan flash swap di RskSwap. Kemudian, dia meminjam WRBTC tambahan dari kontrak pinjaman Sovryn menggunakan XUSD miliknya sendiri (stablecoin lain) sebagai jaminan. 

“Penyerang kemudian memberikan likuiditas ke kontrak pinjaman RBTC, menutup pinjaman mereka dengan swap menggunakan agunan XUSD mereka, menebus (membakar) token iRBTC mereka, dan mengirim WRBTC kembali ke RskSwap untuk menyelesaikan flash swap,” lanjut postingan tersebut. 

Seluruh proses memanipulasi harga iToken sedemikian rupa sehingga penyerang dapat menarik lebih banyak RBTC dari kumpulan pinjaman daripada yang pertama kali disetorkan. 

Sovryn mengklarifikasi bahwa dana pengguna tidak terpengaruh oleh peretasan. Nilai yang hilang dari kumpulan pinjaman akan diinjeksikan kembali oleh Bendahara – perbendaharaan Sovryn.