Содержание
Symbiosis, DeFi-сеть для обмена активов между блокчейнами, потеряла минимум $770 000 после ошибки в смарт-контракте. Атака прошла 11 сентября: злоумышленник потратил 330 сатоши, около 25 центов, и создал 46 млрд «биткоинов» внутри сети.
Сумма выглядит почти карикатурно, но проблема была не в магии блокчейна. В коде не проверили базовую вещь: комиссия за транзакцию должна быть положительным числом. Если банк внезапно начал бы начислять деньги за перевод вместо списания комиссии, эффект был бы похожим.
Как отрицательная комиссия превратилась в 46 млрд syBTC
Атакующий использовал две ошибки: получил права администратора через нераскрытую уязвимость и выставил комиссию в отрицательное значение. После этого он провёл 12 транзакций, где комиссия не вычиталась из суммы перевода, а добавлялась к ней.
Так появились 46 млрд syBTC — обёрнутых биткоинов внутри экосистемы Symbiosis. Для масштаба: максимальная эмиссия настоящего Bitcoin ограничена 21 млн монет. Разница тут в том, что syBTC без обеспечения не равны настоящим BTC.
Но уязвимость ударила по пулам ликвидности. Злоумышленник начал менять выпущенные syBTC на другие обёрнутые версии биткоина: BTCB, cbBTC, WBTC и RBTC. Эти пары уже имели реальную ликвидность, поэтому ущерб оценили минимум в 9,97 BTC, или около $770 000 (примерно 74 млн рублей).
По данным Symbiosis, проект работает около пяти лет и связывает более 50 блокчейнов. Код смарт-контрактов открыт и хранится в блокчейне, поэтому его можно проверить публично, включая контракт на Etherscan. В DeFi это нормальная практика, но она режет в обе стороны: баг видят не только аудиторы.
Почему фейковые токены всё равно вывели реальные деньги
DeFi-пулы работают как автоматические обменники. Пользователи кладут туда ликвидность, а другие трейдеры меняют один актив на другой через смарт-контракт. Владельцы ликвидности получают часть комиссий, но берут на себя риск кода.
Для обменов между сетями проекты выпускают обёрнутые токены. Например, Bitcoin в одной системе может превратиться в syBTC, WBTC или другой вариант. В нормальной схеме такой токен должен иметь обеспечение, иначе это просто запись в контракте.
В случае Symbiosis атакующий получил необеспеченные syBTC, но смог обменять их на токены из реальных пулов. Часть похищенного он успел провести через Uniswap. В кэш, по имеющимся данным, ушло около $336 000 (примерно 32 млн рублей), после чего оставшиеся активы начали блокировать и помечать службы безопасности и биржи.
С оставшейся частью всё сложнее. Некоторые обёрнутые токены, например Coinbase cbBTC, выпускают централизованные компании. Их можно аннулировать и перевыпустить после юридической процедуры. А вот RBTC так просто не откатить, поэтому владельцам пулов придётся ждать компенсаций или возврата активов.
Symbiosis обещает компенсации и перепишет Bitcoin-логику
Symbiosis заявила, что намерена закрыть долг перед поставщиками ликвидности. Часть средств проект планирует вернуть из уже эвакуированных активов, а каждому LP предложат индивидуальный план компенсации.
На практике это обычно означает переговоры с крупными держателями. Им могут предложить долговую расписку, процентный пакет или смешанную схему. Для проекта такой вариант лучше немедленной ликвидации, потому что распродажа активов часто возвращает пострадавшим лишь часть суммы.
Команда также пообещала переписать логику, связанную с Bitcoin-стороной протокола, и заказать независимый аудит нового кода. После инцидента Symbiosis запросила и полный аудит всей системы, о чём проект сообщил в публичном заявлении.
Отдельная деталь звучит почти болезненно для индустрии. Symbiosis считает, что современные ИИ-модели снизили стоимость поиска таких багов. Аргумент рабочий, но он плохо оправдывает пропущенную проверку на отрицательное число в коде, который двигает реальные деньги.
Инцидент произошёл 11 сентября, а подтверждённый ущерб составляет минимум 9,97 BTC. Symbiosis пообещала вернуть часть средств из эвакуированных резервов и подготовить для каждого LP отдельный компенсационный план.
