coindesk.com
La impresión de 46 mil millones de tokens falsos vinculados a bitcoin $BTC$76.314,13 en la aplicación cross-chain Symbiosis comenzó con un depósito de solo 330 satoshis, la unidad más pequeña de bitcoin, con un valor total de aproximadamente 25 centavos.
El servicio permite a los usuarios intercambiar tokens a través de diferentes blockchains donde originalmente pueden no estar soportados. A análisis póstumo publicado a primera hora del martes muestra cómo dos fallos de software en el puente de Bitcoin de Symbiosis se combinaron para permitir a un atacante crear enormes cantidades de syBTC, un token destinado a representar el bitcoin que mantiene el sistema.
Los datos de la cadena de bloques revisados por CoinDesk muestran que el atacante procesó 12 depósitos falsos en BNB Chain, Ethereum y Rootstock en aproximadamente cuatro minutos, creando finalmente alrededor de 46,1 mil millones de syBTC, o más de 2.000 veces el límite máximo de 21 millones de monedas de Bitcoin.
El puente examinó la parte incorrecta de una transacción de bitcoin al decidir quién había enviado el dinero, lo que permitió al atacante persuadir al sistema para que los trate tanto como depositante aprobado como administrador del puente, según Symbiosis.
Ese acceso elevado permitió al atacante reducir la tarifa mínima del puente por debajo de cero. Un segundo error luego restó la tarifa negativa del monto del depósito, lo que se sumó en lugar de reducirlo, — lo que significa que el depósito podría tratarse repentinamente como si valiera esencialmente cualquier número que el atacante proporcionara.
Symbiosis informó que el suministro de syBTC era de solo 13.91 tokens antes del ataque, con 11.26 syBTC en pools de liquidez emparejados con WBTC, cbBTC, BTCB y RBTC. Su estimación preliminar sitúa las pérdidas para los proveedores de liquidez y usuarios afectados en 9.97 $BTC, o aproximadamente $770,000.
La discrepancia entre la cantidad de tokens creados y la pérdida real se debe a una característica del proceso. La emisión de tokens puente sin respaldo no genera los activos reales necesarios para su redención. El atacante solo pudo extraer valor de la liquidez vinculada a bitcoin que realmente estaba disponible al otro lado.
Symbiosis actualmente mantiene aproximadamente 8 millones de dólares en valor total bloqueado, según DefiLlama, a pesar de haber procesado alrededor de 146 millones de dólares en volumen de puente durante los últimos 30 días completados.
El proyecto afirmó que planea cubrir los fondos robados utilizando parte del bitcoin evacuado durante el ataque y acuerdos de compensación separados para los proveedores de liquidez afectados.