Хакер выпустил 46,1 млрд syBTC через мост Symbiosis за 25 центов

Неизвестный взломал мост Symbiosis и выпустил около 46,1 млрд необеспеченных токенов syBTC, привязанных к биткоину. Это в 2000 раз больше максимального предложения биткоина в 21 млн монет. На атаку злоумышленник потратил 330 сатоши — около 25 центов. Взлом произошёл 11 сентября, команда проекта раскрыла детали позже.

Хакер смог убедить систему, что он одновременно одобренный вкладчик и администратор моста. Расширенные права позволили установить минимальную комиссию моста отрицательной. Из-за ещё одной уязвимости система вычитала минимальную комиссию из суммы депозита: минус на минус давал плюс, и выводимые суммы не уменьшались, а росли. За четыре минуты злоумышленник провёл 12 фиктивных депозитов через сети BNB Chain, Эфириум и Rootstock.

Заработать на атаке удалось 9,97 BTC стоимостью около $770 000 ≈ 2,33 млн BYN — это ущерб поставщиков ликвидности и остальных клиентов, признала команда Symbiosis. Вывести больше средств не получилось из-за низкой ликвидности. До взлома в обороте было всего около 13,91 токена syBTC, ещё примерно 11,26 syBTC лежали в пулах ликвидности — их использовали для обмена на другие привязанные к биткоину токены (BTCB, cbBTC, WBTC и RBTC).

Symbiosis — мост, который позволяет обменивать токены между разными блокчейнами. В течение нескольких часов после атаки разработчики смогли эвакуировать 15,2 BTC на резервные адреса. Проверить, не связаны ли адреса с украденными средствами, можно через проверку кошелька, а суммы ущерба от подобных инцидентов собраны в хронике взломов.