Протокол крос-чейн ліквідності Symbiosis відновив приблизно 15 BTC після того, як зловмисник використав його Bitcoin Bridge, тоді як його власний біткоїн-маршрут залишається призупиненим, а постраждалі постачальники ліквідності очікують на план компенсації.
Підсумок
- Symbiosis відновив приблизно 15 BTC після того, як зловмисник використав його Bitcoin Bridge 11 вересня.
- Протокол запропонував винагороду у розмірі 20% за подальше відновлення коштів, тоді як його власний Bitcoin Bridge залишається призупиненим.
- Blockaid повідомила, що в результаті експлойту було викарбувано приблизно 46,1 мільярда незабезпечених syBTC, але зловмисник продав лише близько 4,39 WBTC за $336 000.
- Біткоїн-свопи відновилися через Chainflip і THORChain, тоді як Symbiosis готує рамкову програму компенсації для постраждалих постачальників ліквідності.
Symbiosis повідомив, що інцидент безпеки стався 11 вересня після того, як зловмисник використав вразливість у Bitcoin Bridge, що спонукало протокол зупинити власні BTC-маршрути та ізолювати постраждалий міст від решти своєї інфраструктури.
Спочатку протокол запропонував зловмиснику винагороду «білого капелюха» у розмірі 20% від коштів, якщо решту активів буде повернуто до 13 вересня. Symbiosis заявив, що після закінчення цього терміну така сама винагорода у 20% буде запропонована будь-кому, хто надасть інформацію, що призведе до подальшого відновлення коштів.
Bitcoin Bridge від Symbiosis залишається призупиненим
За словами протоколу, експлойт обмежився власним Bitcoin Bridge від Symbiosis, тоді як маршрути, що включають мережі EVM, TRON і TON, продовжували працювати. Його продукт Octopools і мережа релеєрів залишалися онлайн під час реагування.
Відтоді біткоїн-свопи відновилися через сторонні інтеграції з Chainflip і THORChain, надаючи користувачам альтернативний маршрут, поки протокол тримає власний міст офлайн.
Symbiosis не назвав дати відновлення власного Bitcoin Bridge. Команда заявила, що працює з дослідниками безпеки та оцінює остаточний вплив, перш ніж надавати подальші деталі.
Протокол обробив понад $10 мільярдів транзакцій від моменту запуску приблизно п’ять років тому. Дані DefiLlama, наведені в оригінальному звіті, оцінювали його загальну заблоковану вартість приблизно у $7 мільйонів, тоді як зафіксований обсяг мосту становив приблизно $3,19 мільярда від початку збору даних.
Випуск незабезпечених syBTC сягнув приблизно 46,1 мільярда токенів
Компанія з блокчейн-безпеки Blockaid виявила значно більший випуск токенів у результаті експлойту, ніж сума, яку зловмисник зрештою зміг конвертувати в інші активи.
За даними Blockaid, виклик до контракту BridgeV2 від Symbiosis у мережі BNB Chain призвів до карбування приблизно 46,1 мільярда syBTC, які були надіслані на новостворену адресу.
Несанкціонована кількість перевищувала фіксовану максимальну пропозицію біткоїна у 21 мільйон монет більш ніж у 2 000 разів. Цей показник являв собою синтетичні токени, створені через постраждалий контракт мосту, а не новостворені BTC у мережі Bitcoin.
Незважаючи на розмір випуску, Blockaid заявила, що ймовірний зловмисник зміг продати лише близько 4,39 WBTC через Uniswap v4 в Ethereum, отримавши приблизно $336 000 доходу.
DeFiLlama так само класифікувала інцидент як «незабезпечений крос-чейн випуск» і зафіксувала збиток у розмірі приблизно $336 000.
Різниця між кількістю створених синтетичних токенів і коштами, зрештою вилученими, нагадує попередні інциденти з мостами, у яких зловмисники отримували можливість створювати незабезпечені представлення активу, але стикалися з обмеженнями, намагаючись обміняти їх на ліквідні, повністю забезпечені активи.
Нещодавні експлойти мостів спричинили подібні розбіжності
Окремий інцидент із мостом, пов’язаним із Bitcoin, стався кількома днями раніше в Liquid Network від Blockstream, де зловмисник використав помилку, щоб створити приблизно 4 000 незабезпечених L-BTC, перш ніж погасити токени за біткоїни, що зберігалися мережею.
Як раніше повідомляло crypto.news, сторони, причетні до експлойту Liquid, згодом повернули 3 400 BTC після того, як Blockstream заявила, що уражені вузли мосту було виправлено. Після відновлення залишилося неповернутими приблизно 598,5 BTC.
Пізніше Blockstream відхилила вимогу зловмисника залишити частину неповернутих біткоїнів як винагороду.
Інший випадок у квітні стосувався кросс-чейн шлюзу Hyperbridge, де зловмисник викарбував приблизно 1 мільярд несанкціонованих токенів, еквівалентних DOT, отримавши контроль через підроблене кросс-чейн повідомлення. Зрештою зловмисник вилучив близько 237 000 доларів, що набагато менше за теоретичну вартість створених токенів.
Згодом Hyperbridge у травні відкрила публічну програму винагород за помилки, пропонуючи винагороди до 50 000 доларів за критичні вразливості. До заявленого обсягу входили підробка кросс-чейн повідомлень, недоліки контролю доступу, маніпулювання станом та інші слабкі місця, які могли вплинути на кошти або цілісність повідомлень.
Ще один недавній інцидент із The Sandbox спричинив ще один великий незабезпечений випуск. У серпні вразливість кросс-чейн мосту дозволила несанкціоновано викарбувати SAND у Base та BNB Smart Chain, тоді як проєкт заявив, що його розгортання в Ethereum та Polygon не постраждали.
Дослідники он-чейн оцінили, що під час того інциденту з адаптера мосту вийшло приблизно 14,75 мільйона SAND, забезпечених Ethereum, а продаж токенів приніс приблизно 675 000 доларів.
Symbiosis готує рамкову програму компенсації для LP
Symbiosis утримувала уражений Bitcoin Bridge ізольованим, підтримуючи інші свої кросс-чейн сервіси та використовуючи Chainflip і THORChain для підтримки обмінів біткоїнів.
Проєкт не розкрив, як буде розподілено відновлені 15 BTC або чи всі постраждалі постачальники ліквідності матимуть право на відшкодування. Остаточна сума збитків усе ще підраховується.
Початкова пропозиція white-hat у розмірі 20% давала зловмиснику час до 13 вересня, щоб повернути кошти за умовами винагороди. Symbiosis заявила, що той самий відсоток згодом буде доступний будь-кому, чия інформація допоможе відновити більше активів.
Команда заявила, що її мережа ретрансляторів продовжує працювати, поки вона проходить процес відновлення та готує правила компенсації постраждалим постачальникам ліквідності.
