Хакер выпустил 46 миллиардов токенов syBTC за 25 центов

Злоумышленник, потратив всего 330 сатоши, что эквивалентно примерно 25 центам, смог осуществить атаку 11 сентября, подробности которой были обнародованы только сейчас. Хакер использовал уязвимость системы, убедив ее, что он одновременно является как одобренным вкладчиком, так и администратором моста. Это расширенное право позволило ему установить минимальную комиссию моста на отрицательном уровне. Благодаря еще одной уязвимости, система вычитала минимальную комиссию из суммы внесенного депозита, что в итоге увеличивало сумму, которую хакер мог вывести из протокола.

За четыре минуты злоумышленник провел 12 фиктивных депозитов, используя сети BNB Chain, Эфириум и Rootstock, создав 46 миллиардов токенов syBTC, что в 2000 раз превышает максимальное предложение биткоина. В результате атаки хакер заработал 9,97 BTC, что составляет около 770 000 долларов — такую сумму признала команда Symbiosis как ущерб для поставщиков ликвидности и остальных клиентов. Из-за низкой ликвидности злоумышленник не смог вывести больше средств. До взлома в обороте находилось всего 13,91 токена syBTC, а еще около 11,26 syBTC находились в пулах ликвидности, которые использовались для обмена на другие токены, привязанные к биткоину, такие как BTCB, cbBTC, WBTC и RBTC.

Symbiosis — это мост, который позволяет обменивать токены между различными блокчейнами. Представители проекта сообщили, что до атаки в обращении находилось всего 13,91 токена syBTC. Однако разработчики Symbiosis смогли эвакуировать 15,2 BTC на резервные адреса в течение нескольких часов после атаки.