sybtc

📰 Симбиоз Биткоин-мост был последовательно взломан двумя уязвимостями. Злоумышленник внес всего 330 сатоши биткоинов (стоимостью около 0,25 доллара), но всего за ~4 минуты провел 12 поддельных депозитов, пересекая BNB Chain, Ethereum и Rootstock.

🔥 Самое невероятное: в итоге атакующий отчеканил около 46,1 млрд безобеспеченных syBTC. Это более чем в 2000 раз больше, чем 20,1 млн BTC — верхний предел предложения, а до атаки общее предложение syBTC составляло лишь 13,91 монеты.

💡 Проблема кроется на этапе валидации. Мост считывает ошибочное поле в биткоин-транзакции, идентифицируя злоумышленника как разрешенного получателя депозита и администратора. Затем атакующий использовал другую уязвимость, которая «вычитание отрицательной комиссии» посчитала как увеличение суммы депозита.

Честно говоря, один-единственный баг, возможно, и не привел бы к такому результату — страшно, когда одновременно ошибаются и распознавание прав, и расчёт сумм. Команда проекта на старте оценивает потери у поставщиков ликвидности и затронутых пользователей примерно в 9,97 BTC — около 770 тысяч долларов.

🤔 Сейчас нативный Bitcoin Bridge по-прежнему отключен: ПО переписывают и проводят независимый аудит. Проект заявляет, что потери будут компенсированы за счет части биткоинов, переведенных во время атаки, и других предусмотренных мер. После этой аварии ты все еще будешь класть BTC в кроссчейн-мосты?

#Symbiosis #syBTC #跨链桥 #Web3安全

🎯 25 центов отпечатали 46,0 млрд BTC

📰 Симбиоз кроссчейн-мост: два бага в стеке. 330 “聪” вкладов запихнули в админ-права, отрицательная ставка считалась как плюс, 12 фейковых пополнений создали 46,0 млрд syBTC

💬 Настоящая «воздушная» печать денег. К счастью, фейковые монеты не обналичиваются в настоящие; LP потеряли 9,97 BTC — примерно $770 тыс. Мост уже отключили, переписали и добавили аудит. Урок дорогой

🏷️ #Symbiosis #跨链桥 #安全事件 #syBTC

📰 Symbiosis 官方 ответ: связанные с биткоином функции обмена в настоящее время временно недоступны, команда развертывает обновление. Другие обмены и операции по протоколу по-прежнему можно использовать в обычном режиме, а дальнейшие новости будут опубликованы через официальные каналы.

⚠️ Пауза на этот раз не случайная. Ранее компания по безопасности Blockaid обнаружила, что Symbiosis подверглась атаке в BNB Smart Chain, то есть BSC.

🔥 Злоумышленники использовали уже подписанные BridgeV2 операции получения, чтобы отчеканить на новый адрес около 2^62 исходных единиц syBTC. Цифра выглядит крайне внушительно, но главное — то, что был использован подписанный процесс получения.

👀 Затем тот же адрес-выгодоприобретатель на Ethereum через Uniswap V4 продал (сбыл) около 4,39 WBTC, и на данный момент уже вывел примерно 336 тысяч долларов. Честно говоря, временная остановка обменов, связанных с биткоином, по крайней мере показывает, что команда занимается проблемой; смогут ли остальные функции и дальше работать нормально — покажет результат обновления.

🤔 Как вы считаете, это больше похоже на локальный сбой, или атака может дальше подорвать доверие к кроссчейн-обменам Symbiosis?

#Symbiosis #跨链协议 #安全事件 #syBTC