Manipulation du pool de prêt Sovryn

Le 21 octobre 2022, Sovryn — un protocole DeFi construit sur RSK (Rootstock), la plateforme de smart contracts en sidechain Bitcoin — a perdu environ 1,1 million de dollars via une attaque par manipulation de prix sur son pool de prêt. L'attaquant a manipulé le flux de prix dérivé de l'AMM utilisé par Sovryn pour la valorisation de la collatéral, puis a emprunté contre la valeur gonflée.

Ce qui s'est passé

Sovryn fournit du trading sur marge, du prêt et de la fonctionnalité AMM sur RSK, avec des actifs bridgés depuis Bitcoin. Ses marchés de prêt valorisaient la collatéral en utilisant des prix dérivés d'AMM issus des propres pools de liquidité de Sovryn.

L'attaque a suivi le pattern canonique de manipulation d'oracle :

1. L'attaquant a manipulé le prix du pool AMM Sovryn pertinent en y tradant avec suffisamment de capital.
2. La valorisation de collatéral du marché de prêt, lisant le prix manipulé du pool, a surévalué la collatéral de l'attaquant.
3. L'attaquant a emprunté les actifs disponibles du pool contre la valorisation gonflée.
4. Total extrait : environ 1,1 M$ en RBTC et autres actifs.

Une partie des fonds a été récupérée via la réponse du protocole et la coordination ; la perte nette réalisée a été inférieure au drainage brut.

Conséquences

• Sovryn a mis en pause les pools de prêt affectés et publié un post-mortem.
• L'équipe a implémenté un durcissement des oracles et une compensation partielle des utilisateurs.
• Sovryn est l'un des rares protocoles du catalogue opérant sur RSK — une sidechain Bitcoin à activité comparativement faible — illustrant que les modes d'échec de sécurité DeFi sont indépendants de la chaîne.

Pourquoi c'est important

L'incident Sovryn est une entrée petite mais représentative démontrant que le playbook de manipulation d'oracle s'applique de manière identique sur chaque chaîne, y compris les sidechains Bitcoin-adjacentes à faible activité. Le même pattern structurel qui a drainé Cream Finance sur Ethereum, Vee Finance sur Avalanche, Moola Market sur Celo, et Lodestar sur Arbitrum, s'est appliqué de la même façon à Sovryn sur RSK : un marché de prêt qui valorise la collatéral depuis un pool on-chain manipulable est exploitable par quiconque peut bouger ce pool.

La leçon plus large que le catalogue ne cesse de renforcer à travers ces petits incidents géographiquement divers : les connaissances de sécurité DeFi ne se propagent pas automatiquement entre écosystèmes. Les constructeurs DeFi de chaque chaîne ont tendance à réapprendre indépendamment la manipulation d'oracle, la réentrance et les bugs de contrôle d'accès — le petit écosystème de RSK pas moins que les plus grands. Le coût est une taxe récurrente, chaîne par chaîne, payée en fonds utilisateurs réels, pour des leçons déjà documentées et librement disponibles avant que le code vulnérable ne soit livré.