11 сентября атакующий выпустил из контракта BridgeV2 кросс-чейн протокола Symbiosis около 46,1 млрд синтетических биткоинов syBTC — в две тысячи раз больше предельной эмиссии самого биткоина. Заработать на этом получилось 336 тысяч долларов. Команда за то же время успела спасти больше, чем унёс нападавший.

Коротко

Ошибка в функции приёма средств позволила начислить примерно 2⁶² «сырых» единиц токена на свежий адрес. Продать удалось лишь около 4,39 WBTC через Uniswap v4 в сети Ethereum — на остальное просто не нашлось встречной ликвидности. Symbiosis остановила собственные биткоин-маршруты, вывела на мультиподпись команды примерно 15 BTC и предложила атакующему 20% в обмен на возврат.

Что произошло

Почему 46 миллиардов превратились в 336 тысяч

Собственное наблюдение: цена бага бесконечной эмиссии равна не размеру эмиссии, а глубине пулов, куда напечатанное можно продать. Отношение номинала к выручке здесь — примерно один к ста тридцати семи тысячам. При TVL протокола около 7 млн долларов потолок ущерба был на четыре порядка ниже заголовочной цифры, и никакая «дыра на 46 миллиардов» этого потолка не поднимает.

Отсюда практический вывод для оценки риска: когда в сводке стоит гигантская сумма выпуска, смотреть надо не на неё, а на два числа — сколько реально было в пулах на выходе и через сколько минут протокол отключил маршруты. Первое задаёт предел, второе — насколько близко к нему подошли.

Редкий случай: защита обогнала атаку

Нападавший вывел 4,39 WBTC. Symbiosis за то же окно перевела на контролируемую командой мультиподпись около 15 BTC — втрое больше. В подавляющем большинстве инцидентов с мостами всё наоборот: протокол узнаёт о проблеме, когда выводить уже нечего. Здесь сработала внешняя система мониторинга: атаку публично зафиксировала Blockaid, и у команды осталось время на реакцию.

Разница между 15 спасёнными и 4,39 унесёнными биткоинами — это и есть цена сторонних систем наблюдения за контрактами. Внутренний мониторинг протокола на аномальную эмиссию не сработал: контракт исполнил начисление как штатную операцию, потому что с точки зрения кода она такой и была. Остановить процесс смогли только после внешнего сигнала.

Биткоин-свопы Symbiosis восстановила через сторонних партнёров Chainflip и THORChain, сеть релееров продолжила работу, собственный мост остался выключен. В протоколе заявили, что связываются с каждым пострадавшим поставщиком ликвидности и готовят механизм компенсации, критерии которого опубликуют отдельно.

Что с возвратом средств

Срок белого предложения — 20% от выведенного при добровольном возврате — истекал 13 сентября. Он прошёл, и теперь та же награда обещана за сведения, ведущие к возврату. То есть переговорный сценарий не сработал, и дело переходит в плоскость розыска.

Экономика такого предложения для атакующего выглядит неочевидно. 20% от 336 тысяч — около 67 тысяч долларов гарантированно и без риска, против полной суммы, которую ещё нужно провести через миксеры и обменники, оставляя следы в публичном блокчейне. При выручке в сотни тысяч, а не в десятки миллионов, эта арифметика часто склоняет к возврату — но здесь не склонила.

Источники

• The Block — Symbiosis вернула 15 BTC и предложила атакующему 20%
• CoinCentral — разбор эмиссии syBTC и продажи через Uniswap
• The Cryptonomist — механика уязвимости в BridgeV2