Το exploit του Solv Protocol αποστραγγίζει $2,7M σε SolvBTC, προσφέρεται 10% bounty

Το πρωτόκολλο Solv Protocol με επίκεντρο το Bitcoin εκμεταλλεύτηκε την Πέμπτη, με αποτέλεσμα περίπου 2,7 εκατομμύρια δολάρια σε κεφάλαια να αποσυρθούν από ένα από τα θησαυροφυλάκια token του. Το έργο έχει προσφέρει ανταμοιβή 10% στους επιτιθέμενους.

Το Solv Protocol είναι μια πλατφόρμα DeFi που επιτρέπει στους χρήστες να κάνουν staking Bitcoin μέσω του Staking Abstraction Layer. 

Σύμφωνα με μια ενημέρωση μετά το περιστατικό, περίπου 38 Solv Protocol BTC (SolvBTC), τα οποία το έργο χρησιμοποιεί για δραστηριότητες δημιουργίας απόδοσης και δανεισμού σε όλο το οικοσύστημά του, αποσύρθηκαν από ένα από τα διαρθρωμένα θησαυροφυλάκια απόδοσης που ονομάζεται Bitcoin Reserve Offerings (BRO).

Το Solv Protocol ανέφερε ότι το περιστατικό επηρέασε λιγότερους από 10 χρήστες και πρόσθεσε ότι θα αποζημιώσει για την απώλεια των 38,05 SolvBTC, που ανέρχεται σε περίπου 2,7 εκατομμύρια δολάρια.

Ενώ μια πλήρης νεκροψία του περιστατικού δεν έχει ακόμη δημοσιευτεί, αναλυτές ασφαλείας τρίτων μερών πιστεύουν ότι ο επιτιθέμενος κατάφερε να καταχραστεί ένα ελάττωμα διπλής δημιουργίας σε ένα συμβόλαιο BitcoinReserveOffering.

Σύμφωνα με το αυτοματοποιημένο bot της εταιρείας ασφαλείας Decurity, ο εκμεταλλευτής κατάφερε να ενεργοποιήσει την ευπάθεια 22 φορές, γεγονός που του επέτρεψε να διογκώσει 135 BRO σε περίπου 567 εκατομμύρια token BRO πριν μετατρέψει τα κεφάλαια σε SolvBTC.

Εν τω μεταξύ, ένας ψευδώνυμος ερευνητής κρυπτογράφησης που ταυτοποιήθηκε ως Pyro περιέγραψε το περιστατικό ως επίθεση reentrancy, μια κοινή εκμετάλλευση όπου επαναλαμβανόμενες κλήσεις σε ένα έξυπνο συμβόλαιο επιτρέπουν στους επιτιθέμενους να χειραγωγήσουν την εσωτερική λογιστική πριν ενημερωθούν σωστά τα υπόλοιπα.

Στο μεταξύ, το Solv Protocol έχει προσφέρει ανταμοιβή 10% εάν οι επιτιθέμενοι επιστρέψουν τα κεφάλαια στην καθορισμένη διεύθυνση. Επιπλέον, το έργο ισχυρίζεται ότι συνεργάζεται με τους συνεργάτες ασφαλείας του για να επιδιορθώσει την ευπάθεια.

Κατά τη στιγμή της δημοσίευσης, οι επιτιθέμενοι δεν έχουν ακόμη υποδείξει εάν σκοπεύουν να επιστρέψουν τα κλεμμένα κεφάλαια.

Αυτή είναι μία από τις πολλές επιθέσεις που έχουν στοχεύσει τελευταία τα πρωτόκολλα DeFi.

Νωρίτερα αυτή την εβδομάδα, οι αγορές sDOLA LlamaLend του Curve Finance εκμεταλλεύτηκαν μέσω μιας ευπάθειας που συνδέεται με τη διαμόρφωση του oracle της πισίνας, και ο επιτιθέμενος φέρεται να κέρδισε περίπου 240.000 δολάρια χειραγωγώντας τον μηχανισμό τιμολόγησης χρησιμοποιώντας ένα flash loan για να ενεργοποιήσει ρευστοποιήσεις.

Στις αρχές Φεβρουαρίου, το πρωτόκολλο ρευστότητας cross-chain CrossCurve έχασε επίσης περίπου 3 εκατομμύρια δολάρια αφού επιτιθέμενοι εκμεταλλεύτηκαν ένα ελάττωμα στο έξυπνο συμβόλαιό του που επέτρεψε σε πλαστά μηνύματα cross-chain να παρακάμψουν την επικύρωση της πύλης και να ξεκλειδώσουν κεφάλαια από το συμβόλαιο PortalV2.