46,1 мільярда фальшивих біткоїнів, але реально отримано 336 000 доларів. 11 вересня Symbiosis зазнав атаки на свій Bitcoin Bridge — інструмент для переміщення активів між різними блокчейнами. Протокол повідомляє, що йому вдалося повернути близько 15 BTC, що становить майже 1,15 мільйона доларів, тоді як остаточна сума збитків ще встановлюється. Команда призупинила роботу власного мосту, але обмін біткоїнів відновився завдяки двом партнерським сервісам. Ось що відомо.
Ключові моменти
- Symbiosis повідомляє про повернення близько 15 BTC (1,15 мільйона доларів), які зараз зберігаються на мультісіг-гаманці команди.
- Зловмисник випустив 46,1 мільярда syBTC через контракт BridgeV2 на BNB Chain, але продав лише 4,39 WBTC на суму 336 000 доларів.
- Bitcoin Bridge залишається призупиненим, BTC-свопи тимчасово здійснюються через Chainflip та THORChain.
- Початкова винагорода в 20% для хакера тепер пропонується будь-кому, хто допоможе повернути залишок коштів.
Symbiosis повертає 15 BTC та призупиняє роботу власного мосту
Зловмисник скористався вразливістю Bitcoin Bridge від Symbiosis, точна природа якої поки не розкривається. Цей тип сервісу дозволяє депонувати біткоїни в одній мережі, щоб отримати їх еквівалент, придатний для використання в іншій блокчейн-мережі.
Після виявлення інциденту Symbiosis припинив роботу своїх нативних біткоїн-каналів та ізолював скомпрометований міст. Сервіси, що використовують мережі, сумісні з Ethereum, TRON та TON, залишилися працездатними, як і Octopools та мережа, відповідальна за передачу операцій між блокчейнами.
Обмін біткоїнами з того часу відновився через Chainflip та THORChain — два зовнішні сервіси. Однак міст, безпосередньо використаний Symbiosis, залишається призупиненим.
За словами команди, повернені 15 BTC зберігаються на гаманці, який для здійснення переказу вимагає кількох підписів. Постачальників ліквідності, яких це торкнулося, мають повідомити індивідуально, а механізм компенсації ще належить деталізувати.
Symbiosis пропонував хакеру залишити 20% коштів в обмін на їх повернення до 13 вересня. Оскільки цей термін минув, протокол планує надати аналогічну винагороду будь-кому, хто надасть інформацію, що допоможе повернути активи, які ще залишаються недоступними.
Чому 46,1 мільярда syBTC не дорівнюють 46,1 мільярда біткоїнів
Кібербезпекова компанія Blockaid стверджує, що зловмисник використав контракт BridgeV2 на BNB Chain для створення близько 46,1 мільярда syBTC. Ці токени зазвичай представляють біткоїни, депоновані як застава в протоколі. У цьому випадку вони були випущені без реального забезпечення.
Ця цифра перевищує 21 мільйон біткоїнів, які теоретично можуть існувати, більш ніж у 2 000 разів! Однак це не відповідає фактично викраденій сумі. Створення великої кількості токенів не надає їм цінності: для цього потрібно знайти покупців та мати достатньо ліквідності для їх конвертації.
Згідно з Blockaid, зловмиснику вдалося обміняти лише близько 4,39 WBTC на Uniswap v4, отримавши приблизно 336 000 доларів. DeFiLlama також фіксує цю суму та класифікує інцидент як «міжмережеве створення токенів без забезпечення».
Таким чином, атака нагадує, що кількість створених токенів не обов’язково відображає реальні збитки. У випадку Symbiosis, 46,1 мільярда syBTC є насамперед записом без достатньої ринкової вартості. Наразі першочерговими завданнями є визначення загальної суми, що підлягає поверненню, компенсація користувачам та умови, необхідні для відновлення роботи Bitcoin Bridge. Слідкуємо за розвитком подій.