Bitcoin Platformu Hacklendi: Bu Altcoin’ler Çalındı!
Bir hacker, Bitcoin tabanlı bir finans protokolünde 44’ün üzerinde RBTC elde etti ve kaçtı. Süreci, protokolün borç verme havuzlarından birinde bir fiyat manipülasyon tekniği kullanarak gerçekleştirdi. İşte detaylar…
Bitcoin tabanlı protokolde fiyat manipülasyonu
Bitcoin tabanlı merkezi olmayan bir finans protokolü olan Sovryn, Salı günü bir fiyat manipülasyonu ile karşı karşıya kaldı. Bunun üzerine 1 milyon doların üzerinde fon boşaltıldı. Hücum, hacker’ın 44.93 RBTC ve 211.045 USDT dahil olmak üzere protokolden 1 milyon doların üzerinde kriptoyu çalmasına neden oldu. Sovryn, bahisle ilgili blog gönderisi paylaştı. Açıklamaya göre, akınlar bilhassa eski Sovryn Borrow/Lend protokolünü hedef aldı. Yani bu da RBTC ve USDT kredi havuzlarını etkiledi. Lakin Sovryn, kullanıcı fonlarının hücumdan etkilenmediğini açıkladı. Borç verme havuzlarındaki rastgele bir eksik değer, Sovryn hazinesi olan Exchequer tarafından tekrar enjekte edilecek.
RBTC ve USDT, sırasıyla Bitcoin ve ABD dolarına sabitlenmiş kripto para üniteleridir. Bu durumda, coin’ler Bitcoin’in akıllı kontrat, dapp ve ölçekleme yeteneklerini genişletmeyi amaçlayan bir Bitcoin yan zinciri olan Rootstock (RSK) üzerinde sirkülasyonda bulunmakta. Sovryn, RSK üzerine konseyi bir Defi protokolüdür. Görünüşe göre fonların bir kısmı Sovryn’in otomatik piyasa yapan (AMM) fonksiyonu kullanılarak geri çekilmekte. Bu da saldırganın birkaç farklı tokenı ele geçirdiği manasına geliyor. Fonların geri alınmasına yönelik uğraşlar hala devam etmekte.
Hack nasıl gerçekleşti?
Sovryn’in gönderisine göre, alınan çok katmanlı güvenlik yaklaşımı sayesinde saldırıyı fark ettiler. Yani, saldırganın, fonları geri çekmeye çalışırken tespit edildiğini belirttiler. Bu noktada, ortak bir eforla geliştiriciler, atakla kaybedilen bedelin yaklaşık yarısını kurtarmayı başardılar. Sovryn sözcüsü Edan Yago, bunun iki yıllık operasyonun akabinde protokole karşı ilk “başarılı” taarruz olduğunu söyledi. Sovryn’in kıymetli ve etkin bug ödülleriyle “bug bounty” “en yoğun şekilde denetlenen DeFi sistemlerinden biri” olduğunu argüman etti.
Hack saldırısı, Sovryn’in iToken fiyatının manipülasyonu yoluyla gerçekleşti. Bu tokenlar, bir kullanıcının borç verme havuzunda sahip olduğu kripto paranın hissesini temsil eder. Ayrıyeten, faiz sağlar. Bu tokenın fiyatı, “borç verme havuzu” ile her etkileşimde güncellenmekte. İlk olarak, saldırgan RskSwap’ta bir flaş işlem kullanarak WRBTC (wrapped RBTC) satın aldı. Akabinde, teminat olarak kendi XUSD’sini (başka bir stablecoin) kullandı. Sovryn’in borç verme kontratından ek WRBTC ödünç aldı. Sovryn’in gönderisinde aşağıdaki sözler yer aldı:
Saldırgan daha sonra RBTC kredi kontratına likidite sağladı. XUSD teminatını kullanarak bir işlem ile kredisini kapattı, iRBTC tokenlarını kullandı. Flaş süreci tamamlamak için WRBTC’yi RskSwap’a geri gönderdi.
