Децентралізована платформа обміну Symbiosis стала жертвою масштабної кібератаки через критичні помилки в коді смартконтракту. Злочинцю вдалося вилучити з криптопулів біткоїни на суму $770 тисяч, витративши всього 25 центів.
Як був здійснений напад на DeFi-платформу
Платформа Symbiosis, яка функціонує вже п’ять років і об’єднує близько 50 різних блокчейнів, дозволяє користувачам торгувати криптовалютними парами без посередництва централізованих бірж. Однак саме відкритість кода смартконтрактів створила умови для атаки.
Хакер виявив дві критичні вразливості: спочатку отримав права адміністратора мережі через нерозкриту уразливість підвищення привілеїв, а потім скористався елементарною помилкою — відсутністю перевірки того, чи є комісія за транзакцію додатним числом.
Атака побудована на хитрій схемі: зловмисник установив комісію за транзакцію на від’ємне значення. Замість того щоб відніматися від суми переводу, від’ємна комісія додавалася до неї. Провівши 12 транзакцій і витративши всього 330 сатоші (близько 25 центів), хакер випустив 46 млрд syBTC — обгорнутих біткоїнів у мережі Symbiosis. Для порівняння, максимальна теоретична кількість BTC в обігу становить лише 21 млн.
Масштаб збитків та конвертація коштів
Хоча самі токени syBTC не мали реальної вартості, оскільки не були забезпечені активами, їх можна було торгувати. Зловмисник почав продавати syBTC проти обгорнутих активів — BTCB, cbBTC, WBTC і RBTC, спустошуючи пули ліквідності та завдаючи збитків на $770 тисяч у реальних біткоїнах.
Приблизно $336 тисяч хакер встиг конвертувати у готівку через децентралізовану біржу Uniswap, перш ніж операції були заблоковані. Решту обгорнутих біткоїнів було позначено охоронними компаніями та криптобіржами, що ускладнило їхнє подальше використання зловмисником.
Що таке DeFi-пули та як вони працюють
DeFi-пули — це автоматизовані торгові резервуари, які функціонують на базі блокчейн-мереж через смартконтракти. Вони дозволяють користувачам торгувати без посередників, користуючись коштами, що накопичені в пулі.
- Учасники, які надають ліквідність, отримують частину комісій за транзакції
- Токени з інших блокчейнів “обгортаються” у власні варіації платформи
- Наприклад, BTC перетворюється на syBTC у мережі Symbiosis
Така схема дозволяє отримувати “відсотки” за збережену валюту практично без зусиль, однак залежність від безпечності коду смартконтракту є абсолютною.
План компенсації та подальші кроки
Symbiosis заявила про намір погасити борги, які виникли внаслідок атаки. Частину коштів планується повернути з евакуйованих активів, а для кожного постраждалого LP (ліквідності провайдера) буде запропонований індивідуальний план компенсації, зокрема боргові розписки та пакети з відсотками.
Проєкт також повідомив про перепис логіки роботи з біткоїном, замовлення незалежного аудиту перед впровадженням нового коду та запит на повний аудит усієї системи. Symbiosis стверджує, що потужні моделі штучного інтелекту знизили вартість пошуку таких помилок, однак гарантувати повну безпеку смартконтрактів це не може.
