Bitcoin Defi Protocol Sovryn é hackeado por mais de US $ 1 milhão

Sovryn – um protocolo financeiro descentralizado baseado em Bitcoin – foi drenado de mais de US $ 1 milhão em fundos na terça-feira usando uma exploração de manipulação de preços. 

O ataque permitiu que o culpado drenasse mais de US$ 1 milhão em criptomoedas do protocolo, incluindo 44.93 RBTC e 211,045 USDT.

O primeiro hack de Sovryn

De acordo com Sovryn blog sobre o assunto, os ataques visaram especificamente o protocolo Sovryn Borrow/Lend legado. Isso impactou os pools de empréstimos RBTC e USDT. 

RBTC e USDT são preços de criptoativos atrelados a Bitcoin e dólares americanos, respectivamente. Nesse caso, eles circulam no Rootstock (RSK), uma sidechain do Bitcoin destinada a expandir o contrato inteligente do Bitcoin, dappe recursos de dimensionamento. Sovryn é um protocolo Defi construído em RSK. 

Alguns dos fundos foram aparentemente retirados usando a função de troca AMM do Sovryn, o que significa que o invasor acabou com vários tokens diferentes. O esforço para recuperar os fundos ainda está em andamento. 

“Devido à abordagem de segurança em várias camadas adotada, os desenvolvedores conseguiram identificar e recuperar fundos enquanto o invasor tentava retirar os fundos”, diz o post. “Neste ponto, por meio de um esforço combinado, os desenvolvedores conseguiram recuperar cerca de metade do valor da exploração.”

O porta-voz do Sovryn, Edan Yago, disse que esta é a primeira exploração bem-sucedida contra o protocolo após dois anos de operação. Ele mantida que Sovryn é “um dos mais auditadas Sistemas Defi”, com recompensas de bugs valiosas e ativas. 

A exploração funcionou manipulando o preço do iToken da Sovryn – tokens com juros que representam a parcela de criptomoeda que um usuário detém em um pool de empréstimos. O preço desse token é atualizado toda vez que uma posição do pool de empréstimos é interagida. 

Como os fundos foram drenados

Primeiro, o invasor comprou o WRBTC (RBTC encapsulado) usando um flash swap no RskSwap. Em seguida, ele emprestou WRBTC adicional do contrato de empréstimo de Sovryn usando seu próprio XUSD (outra stablecoin) como garantia. 

“O invasor forneceu liquidez ao contrato de empréstimo do RBTC, fechou seu empréstimo com um swap usando sua garantia XUSD, resgatou (queimou) seu token iRBTC e enviou o WRBTC de volta ao RskSwap para concluir o flash swap”, continuou o post. 

Todo o processo manipulou o preço do iToken de modo que o invasor pudesse retirar muito mais RBTC do pool de empréstimos do que foi depositado pela primeira vez. 

Sovryn esclareceu que os fundos dos usuários não foram afetados pelo hack. Qualquer valor ausente dos pools de empréstimos será reinjetado pelo Exchequer – o tesouro Sovryn.