跨链流动性协议 Symbiosis 在攻击者利用其比特币桥后已追回约 15 枚 BTC，而其原生比特币路由仍处于暂停状态，受影响的流动性提供者正在等待补偿方案。
摘要
- 在攻击者于 9 月 11 日利用其比特币桥后，Symbiosis 追回了约 15 枚 BTC。
- 该协议为追回更多资金提供了 20% 的赏金，同时其原生比特币桥仍处于暂停状态。
- Blockaid 表示，此次漏洞利用铸造了约 461 亿枚无背书 syBTC，但攻击者仅以 33.6 万美元卖出了约 4.39 枚 WBTC。
- 比特币兑换已通过 Chainflip 和 THORChain 恢复，而 Symbiosis 正在为受影响的流动性提供者准备补偿框架。
Symbiosis 表示，该安全事件发生于 9 月 11 日，此前一名攻击者利用了比特币桥中的一个漏洞，促使该协议暂停其原生 BTC 路由，并将受影响的桥与其基础设施的其余部分隔离。
该协议最初向攻击者提供了一笔白帽赏金，金额相当于资金的 20%，条件是剩余资产在 9 月 13 日前归还。Symbiosis 表示，截止日期过后，同样的 20% 奖励将提供给任何提供线索、帮助进一步追回资金的人。
Symbiosis 比特币桥仍处于暂停状态
据该协议称，此次漏洞利用仅限于 Symbiosis 的原生比特币桥，而涉及 EVM 网络、TRON 和 TON 的路由继续运行。其 Octopools 产品和中继网络在应对期间保持在线。
此后，比特币兑换已通过与 Chainflip 和 THORChain 的第三方集成恢复，在该协议保持自身桥离线期间为用户提供了替代路径。
Symbiosis 尚未给出恢复原生比特币桥的日期。团队表示正在与安全研究人员合作，并在提供更多细节之前评估最终影响。
自大约五年前推出以来，该协议已处理超过 100 亿美元的交易。原报道中引用的 DefiLlama 数据显示，其总锁仓价值约为 700 万美元，而自数据序列开始以来记录的桥交易量约为 31.9 亿美元。
无背书 syBTC 铸造量达到约 461 亿枚代币
区块链安全公司 Blockaid 发现，此次漏洞利用背后涉及的代币铸造量远大于攻击者最终能够转换为其他资产的金额。
据 Blockaid 称，在 BNB Chain 上对 Symbiosis 的 BridgeV2 合约进行的一次调用导致约 461 亿枚 syBTC 被铸造并发送到一个新创建的地址。
这一未经授权的数量是比特币 2100 万枚固定最大供应量的 2000 多倍。该数字代表通过受影响的桥合约创建的合成代币，而非比特币网络上新创建的 BTC。
尽管铸造规模巨大，Blockaid 表示，明显的攻击者仅通过以太坊上的 Uniswap v4 卖出了约 4.39 枚 WBTC，产生了约 33.6 万美元的收益。
DeFiLlama 同样将该事件归类为“无背书跨链铸造”，并记录了约 33.6 万美元的损失。
所创建的合成代币数量与最终提取的资金之间的差额，与此前的跨链桥事件类似，在这些事件中，攻击者获得了创建无抵押资产代表的能力，但在试图将其兑换为流动性充足、完全有抵押的资产时面临限制。
近期跨链桥漏洞利用产生了类似的差额
几天前，Blockstream 的 Liquid Network 上发生了一起与比特币相关的独立跨链桥事件，一名攻击者利用漏洞创建了约 4,000 个无抵押的 L-BTC，随后将这些代币兑换为该网络持有的比特币。
正如 crypto.news 此前报道的那样，在 Blockstream 表示受影响的跨链桥节点已打补丁后，Liquid 漏洞利用背后的各方随后归还了 3,400 枚 BTC。追回后仍有约 598.5 枚 BTC 未归还。
Blockstream 后来拒绝了攻击者要求将部分未归还比特币作为赏金保留的要求。
4 月的另一起案件涉及 Hyperbridge 的跨链网关，一名攻击者通过伪造的跨链消息获得控制权后，铸造了约 10 亿枚未经授权的 DOT 等值代币。攻击者最终提取了约 237,000 美元，远低于所创建代币的理论价值。
Hyperbridge 随后在 5 月启动了一项公开漏洞赏金计划，为关键漏洞提供最高 50,000 美元的奖励。其列出的范围包括跨链消息欺骗、访问控制缺陷、状态操纵以及其他可能影响资金或消息完整性的弱点。
最近一起涉及 The Sandbox 的事件又产生了一次大规模无抵押铸造。8 月，一个跨链桥漏洞允许在 Base 和 BNB Smart Chain 上铸造未经授权的 SAND，而该项目表示其以太坊和 Polygon 部署未受影响。
链上研究人员估计，在该事件中，约有 1,475 万枚以太坊支持的 SAND 离开了跨链桥适配器，代币销售产生了约 675,000 美元。
Symbiosis 为 LP 准备补偿框架
Symbiosis 在保持其他跨链服务运行并使用 Chainflip 和 THORChain 支持比特币兑换的同时，已将受影响的 Bitcoin Bridge 隔离。
该项目尚未披露追回的 15 枚 BTC 将如何分配，也未说明所有受影响的流动性提供者是否有资格获得偿还。最终损失金额仍在计算中。
最初的 20% 白帽提议要求攻击者在 9 月 13 日前按照赏金安排归还资金。Symbiosis 表示，同样的比例随后也将提供给任何其信息有助于追回更多资产的人。
该团队表示，其中继网络在推进追回流程并准备补偿受影响流动性提供者的规则期间继续运行。
