Sovryn 10 ноября опубликовала технический разбор четырёх атак на свои продукты в сетях BOB и Rootstock. Проект впервые разделил причины инцидентов, которые в первом сообщении описывались без механизма: ошибка округления в бирже, два варианта проверки фактически полученных токенов и отдельный изъян в расчёте наград Babelfish. Доказательств, что за всеми эпизодами стоял один оператор, нет.

В бирже Sovryn DEX на BOB злоумышленник ещё 18 сентября использовал расхождение округления в учёте концентрированной ликвидности: контракт выплачивал больше, чем соответствовало внесённым средствам. Поскольку активы разных пулов хранились вместе, видимые позиции поставщиков ликвидности остались без части реального обеспечения. Между контрольными точками из общего контракта исчезло около 1,73 млн SOV и несколько других активов; это не окончательный список требований пользователей и не долларовая оценка ущерба. Старую биржу на BOB проект закрыл навсегда.

В Rootstock 31 октября вредоносный маршрут обмена сообщил системе кредитования о полученных токенах, которых контракт в действительности не получил. Эти фиктивные поступления приняли как обеспечение, после чего из общих кредитных резервов вышли реальные активы. Sovryn насчитала чистый отток 670 775,47 XUSD и 4,02792509 WRBTC; при этом злоумышленнику достались 604 575,19 XUSD и 4,02606509 WRBTC, а 66 134,07 XUSD остались заблокированы 24-часовой задержкой вывода.

Отдельная атака 1 ноября использовала похожий пробел уже в обработке комиссий пула XUSD/WRBTC: система приняла заявленный результат обмена без проверки поступления, реальный WRBTC ушёл сборщику протокола, а искажённые резервы позволили вывести XUSD. Чистое уменьшение активов пула составило около 542 184,02 XUSD и 6,64633368 WRBTC, но примерно 6,63899210 RBTC из этой сверки оставались под контролем протокола — считать их дополнительной кражей нельзя.

Наконец, 4 ноября пятнадцать операций вывели 69 381,25 XUSD из запаса наград Babelfish. Формула могла заплатить за «улучшение» состава резервов, даже если та же последовательность сначала сама создавала дисбаланс, а затем возвращала основную сумму. Sovryn подчёркивает: отток из хранилища, доход атакующего, оставшиеся под контролем протокола средства и последующие обмены — разные показатели, поэтому складывать их в единую сумму ущерба нельзя. На срез 7 ноября кредитование, выводы из затронутых пулов, операции Zero и выпуск или погашение через Babelfish оставались ограничены; окончательная компенсация пользователям не определена.