Attack mot Solv Protocol-vault dränerar SolvBTC för 2.7 miljoner USD

Solv Protocol utreder ett utnyttjande av en sårbarhet som dränerade ungefär 2.7 miljoner USD från ett av dess strukturerade avkastningsvalv, vilket lägger till en växande lista över säkerhetsincidenter inom DeFi-sektorn i år.

I en torsdagsuppdatering på X bekräftade projektet att cirka 38.0474 SolvBTC togs bort från ett av dess Bitcoin Reserve Offering-valv. 

Plattformen uppgav att den kommer att täcka förlusterna fullt ut och att färre än 10 användare påverkades av intrånget.

Solv Protocol driver en on-chain Bitcoin-reserv utformad för att göra BTC till en produktiv tillgång. 

Användare kan deponera Bitcoin i utbyte mot SolvBTC, en wrappad tillgång som gör att de underliggande innehaven kan användas i utlåning, upplåning och staking på andra blockkedjor. 

Protokollet erbjuder också strukturerade avkastningsprodukter kallade Bitcoin Reserve Offerings, eller BRO, som paketerar BTC-exponering i valvbaserade investeringsstrategier.

Enligt projektets webbplats håller Solv cirka 24,226 BTC, värderade till mer än 1.7 miljarder USD, och beskriver sig självt som den största on-chain Bitcoin-reserven. 

Data från DefiLlama visar att mer än 508 miljoner USD för närvarande är låsta i SolvBTC-relaterade produkter.

Även om protokollet inte har publicerat en fullständig teknisk genomgång av intrånget har säkerhetsforskare pekat på en sårbarhet i ett av Solvs smarta kontrakt som gjorde det möjligt för angriparen att prägla ett överdrivet antal token.

En automatiserad övervakningsbot från säkerhetsfirman Decurity indikerade att utnyttjaren utlöste ett fel som möjliggjorde dubbelprägling i ett BitcoinReserveOffering-kontrakt 22 gånger. 

Genom upprepade transaktioner blåste angriparen upp 135 BRO till cirka 567 miljoner BRO-tokens och bytte sedan positionen mot ungefär 38 SolvBTC.

Den pseudonyma forskaren Pyro beskrev incidenten som en återinträdesattack, en teknik där upprepade kontraktsanrop utnyttjar svagheter i hur saldon uppdateras i smarta kontrakt. 

Varianter av attacken har orsakat flera uppmärksammade DeFi-intrång under de senaste åren.

Solv uppgav att de nu samarbetar med flera blockchain-säkerhetsfirmor, inklusive Hypernative Labs, SlowMist och CertiK, för att undersöka incidenten och förstärka de påverkade kontrakten. 

”Alla andra valv och användarnas medel förblir säkra och opåverkade. Vi utreder aktivt tillsammans med ledande säkerhetspartners och har vidtagit åtgärder för att förhindra upprepningar,” tillade det.

I ett försök att återfå de stulna tillgångarna har Solv erbjudit utnyttjaren en 10% white hat-bounty om medlen återlämnas. 

Protokollet publicerade också en Ethereum-plånboksadress i sitt meddelande för att underlätta kommunikation med angriparen, men ingen respons hade registrerats vid publiceringstillfället.

DeFi förblir sårbart

Säkerheten inom DeFi är fortsatt en oro efter ett tufft 2025, då mer än 3.4 miljarder USD stals i hela sektorn.

Och även om inledningen av 2026 inte har sett samma omfattning av megahack, har en serie mindre men riktade intrång hållit säkerhetsfrågorna i fokus.

Under januari och februari rapporterade krypto- och DeFi-sektorerna cirka 112.5 miljoner USD i förluster över 31 incidenter.

Januari stod för största delen av skadorna, med 86 miljoner USD stulna från flera projekt.

Tidigare i veckan utnyttjades Curve Finances sDOLA LlamaLend-marknad via en sårbarhet kopplad till dess prisoracle-konfiguration, vilket möjliggjorde för angriparen att tjäna ungefär $240,000 genom flash-lånebaserade likvidationer.

I början av februari förlorade cross-chain-likviditetsprotokollet CrossCurve ungefär $3 million efter att angripare utnyttjat ett fel som tillät förfalskade cross-chain-meddelanden att kringgå gateway-validering och låsa upp tillgångar från dess PortalV2-kontrakt.

Även om det totala värdet av förluster har minskat jämfört med de storskaliga intrången i början av 2025, säger säkerhetsanalytiker att ett fåtal högpåverkande incidenter fortsätter att forma riskmiljön för decentraliserade finansplattformar.