Протокол кросс-чейн ликвидности Symbiosis восстановил примерно 15 BTC после того, как злоумышленник использовал уязвимость в его Bitcoin Bridge, в то время как его собственный биткоин-маршрут остаётся приостановленным, а затронутые поставщики ликвидности ожидают плана компенсации.
Краткое содержание
- Symbiosis восстановил примерно 15 BTC после того, как злоумышленник использовал уязвимость в его Bitcoin Bridge 11 сентября.
- Протокол предложил вознаграждение в размере 20% за дальнейшее восстановление средств, в то время как его собственный Bitcoin Bridge остаётся приостановленным.
- Blockaid сообщила, что в результате эксплойта было выпущено примерно 46,1 млрд необеспеченных syBTC, но злоумышленник продал только около 4,39 WBTC за $336 000.
- Обмены биткоина возобновились через Chainflip и THORChain, пока Symbiosis готовит механизм компенсации для затронутых поставщиков ликвидности.
Symbiosis заявил, что инцидент безопасности произошёл 11 сентября после того, как злоумышленник использовал уязвимость в Bitcoin Bridge, что побудило протокол остановить свои собственные BTC-маршруты и изолировать затронутый мост от остальной инфраструктуры.
Изначально протокол предложил злоумышленнику вознаграждение в стиле white-hat в размере 20% от средств, если оставшиеся активы будут возвращены до 13 сентября. Symbiosis заявил, что после истечения срока те же 20% будут предложены любому, кто предоставит информацию, ведущую к дальнейшему восстановлению средств.
Bitcoin Bridge от Symbiosis остаётся приостановленным
По словам протокола, эксплойт затронул только собственный Bitcoin Bridge Symbiosis, в то время как маршруты, связанные с сетями EVM, TRON и TON, продолжали работать. Его продукт Octopools и сеть релеев оставались онлайн во время реагирования.
С тех пор обмены биткоина возобновились через сторонние интеграции с Chainflip и THORChain, предоставляя пользователям альтернативный маршрут, пока протокол держит собственный мост отключённым.
Symbiosis не назвал дату восстановления собственного Bitcoin Bridge. Команда заявила, что работает с исследователями безопасности и оценивает окончательное воздействие, прежде чем предоставить дальнейшие подробности.
С момента запуска примерно пять лет назад протокол обработал транзакций на сумму более $10 млрд. Данные DefiLlama, приведённые в оригинальном отчёте, оценивали его общую заблокированную стоимость примерно в $7 млн, а зафиксированный объём моста составлял примерно $3,19 млрд с начала сбора данных.
Выпуск необеспеченных syBTC достиг примерно 46,1 млрд токенов
Компания по блокчейн-безопасности Blockaid выявила гораздо более крупный выпуск токенов в рамках эксплойта, чем сумма, которую злоумышленник в конечном итоге смог конвертировать в другие активы.
По данным Blockaid, вызов контракта BridgeV2 Symbiosis в сети BNB Chain привёл к выпуску примерно 46,1 млрд syBTC, которые были отправлены на новый созданный адрес.
Несанкционированное количество более чем в 2 000 раз превышало фиксированное максимальное предложение биткоина в 21 млн монет. Эта цифра представляла собой синтетические токены, созданные через затронутый контракт моста, а не новые BTC, созданные в сети Bitcoin.
Несмотря на размер выпуска, Blockaid заявила, что предполагаемый злоумышленник смог продать только около 4,39 WBTC через Uniswap v4 в Ethereum, получив примерно $336 000 выручки.
DeFiLlama аналогичным образом классифицировала инцидент как «необеспеченный кросс-чейн выпуск» и зафиксировала убыток в размере около $336 000.
Разница между количеством созданных синтетических токенов и в конечном итоге извлечёнными средствами напоминает предыдущие инциденты с мостами, в которых злоумышленники получали возможность создавать необеспеченные представления актива, но сталкивались с ограничениями при попытке обменять их на ликвидные, полностью обеспеченные активы.
Недавние эксплойты мостов привели к аналогичным разрывам
Отдельный инцидент с мостом, связанным с Bitcoin, произошёл несколькими днями ранее в Liquid Network от Blockstream, где злоумышленник использовал ошибку для создания примерно 4 000 необеспеченных L-BTC, прежде чем погасить токены за счёт биткоина, хранящегося в сети.
Как ранее сообщал crypto.news, стороны, стоявшие за эксплойтом Liquid, впоследствии вернули 3 400 BTC после того, как Blockstream заявила, что затронутые узлы моста были исправлены. После восстановления осталось непогашенным примерно 598,5 BTC.
Позже Blockstream отклонила требование злоумышленника оставить часть непогашенного биткоина в качестве вознаграждения.
Другой случай в апреле касался кросс-чейн шлюза Hyperbridge, где злоумышленник выпустил примерно 1 миллиард несанкционированных токенов, эквивалентных DOT, после получения контроля через поддельное кросс-чейн сообщение. В конечном итоге злоумышленник извлёк около 237 000 долларов, что намного ниже теоретической стоимости созданных токенов.
Впоследствии Hyperbridge в мае открыла публичную программу вознаграждения за ошибки, предлагая награды до 50 000 долларов за критические уязвимости. В её заявленную область входили подмена кросс-чейн сообщений, недостатки контроля доступа, манипулирование состоянием и другие слабые места, которые могли повлиять на средства или целостность сообщений.
Более поздний инцидент с участием The Sandbox привёл к ещё одному крупному необеспеченному выпуску. В августе уязвимость кросс-чейн моста позволила несанкционированно выпустить SAND в Base и BNB Smart Chain, при этом проект заявил, что его развёртывания в Ethereum и Polygon не пострадали.
Исследователи ончейн-данных оценили, что во время того инцидента из адаптера моста ушло примерно 14,75 миллиона обеспеченных Ethereum SAND, а продажи токенов принесли около 675 000 долларов.
Symbiosis готовит механизм компенсации для LP
Symbiosis держала затронутый Bitcoin Bridge изолированным, поддерживая работу других своих кросс-чейн сервисов и используя Chainflip и THORChain для поддержки обменов биткоина.
Проект не раскрыл, как будут распределены восстановленные 15 BTC или получат ли все пострадавшие поставщики ликвидности право на возмещение. Окончательная сумма потерь всё ещё подсчитывается.
Первоначальное предложение о 20% white-hat давало злоумышленнику время до 13 сентября, чтобы вернуть средства в рамках соглашения о вознаграждении. Symbiosis заявила, что впоследствии тот же процент будет доступен любому, чья информация поможет вернуть больше активов.
Команда заявила, что её сеть релеев продолжает работать, пока она проходит процесс восстановления и готовит правила компенсации пострадавшим поставщикам ликвидности.
