Symbiosis’in Bitcoin Bridge’inde bulunan iki yazılım hatası, saldırganın 330 satoshi tutarındaki bir yatırımı yaklaşık 46,1 milyar teminatsız syBTC tokenine çevirmesine yol açtı. Bu işlem 12 sahte yatırım üzerinden gerçekleşti.
Saldırgan, yönetici ayrıcalığı tanıyan bir hatayı ve negatif ücreti ekleme olarak işleyen bir diğer hatayı birlikte kullandı. Bu sayede keyfi token basımı mümkün hale geldi.
Symbiosis zararını 9,97 BTC olarak tahmin etti, tazminat sözü verdi ve köprüyü yeniden yazım ve bağımsız denetim için çevrimdışı aldı.
Çapraz zincir uygulaması Symbiosis üzerinde 84 bin 117,13 dolar değerindeki bitcoin’e bağlı 46 milyar sahte token basımı, toplam değeri yaklaşık 25 sent olan 330 satoshi, bitcoin’in en küçük birimi, tutarındaki bir yatırımla başladı.
Hizmet, kullanıcıların tokenları orijinal olarak desteklenmediği zincirler arasında takas etmesine olanak tanıyor. Salı günü erken saatlerde yayımlanan olay sonrası incelemede, Symbiosis’in Bitcoin Bridge’indeki iki yazılım hatasının birleşerek saldırganın sistem tarafından bitcoin tutulduğunu temsil etmesi gereken syBTC’den büyük miktarda üretmesine nasıl izin verdiği gösterildi.
CoinDesk’in incelediği blok zinciri verilerine göre saldırgan, yaklaşık dört dakika içinde BNB Chain, Ethereum ve Rootstock üzerinden 12 sahte yatırım gerçekleştirdi ve sonunda 46,1 milyar syBTC oluşturdu. Bu miktar, Bitcoin’in 21 milyonluk arz sınırının 2 binden fazla katına denk geliyor.
Symbiosis’e göre köprü, paranın kimin gönderdiğine karar verirken bitcoin işleminin yanlış kısmına baktı. Bu durum saldırganın kendini hem onaylı bir yatırıcı hem de köprü yöneticisi olarak sistemin görmesini sağlamasına olanak tanıdı.
Bu yetki artışı, saldırganın köprünün minimum ücretini sıfırın altına indirmesine izin verdi. İkinci bir hata ise negatif ücreti yatırım tutarından çıkarırken aslında ekledi. Böylece yatırım, saldırganın sağladığı neredeyse istediği değere sahipmiş gibi işlendi.
Symbiosis, saldırının öncesinde syBTC arzının sadece 13,91 token olduğunu, bunun 11,26 syBTC’sinin WBTC, cbBTC, BTCB ve RBTC ile eşleştirilmiş likidite havuzlarında bulunduğunu açıkladı. Ön tahminine göre likidite sağlayıcıları ve etkilenen kullanıcılara verilen zarar 9,97 BTC, yaklaşık 770 bin dolar.
Basılan token sayısı ile gerçek kayıp arasındaki fark, sürecin bir özelliğinden kaynaklanıyor. Teminatsız köprü tokeni basmak, bunları geri alabilmek için gerekli gerçek varlıkları yaratmıyor. Saldırgan, yalnızca karşı tarafta bulunan gerçek bitcoin bağlantılı likiditeden değer çıkarabildi.
DefiLlama verilerine göre Symbiosis şu anda toplamda yaklaşık 8 milyon dolar değer kilitli tutuyor. Proje, son 30 tamamlanmış günde yaklaşık 146 milyon dolar köprü hacmi işledi.
Proje, saldırıda tahliye edilen bitcoin’in bir kısmını ve etkilenen likidite sağlayıcıları için ayrı tazminat düzenlemelerini kullanarak çalınan fonları karşılamayı planladığını söyledi.
Yerel Bitcoin Bridge’i, Bitcoin tarafı yazılımı yeniden yazılıp bağımsız olarak denetlenene kadar çevrimdışı kaldı. Symbiosis ayrıca sistemin daha geniş çaplı bir denetimini de yaptırdı.
Olay sonrası inceleme, güçlü modellerin yazılım açıklarını bulmayı ucuzlaştırdığını belirterek yapay zekânın değişen güvenlik ortamında bir parçası olduğuna işaret etti. İncelemede saldırganın yapay zekâ kullanıp kullanmadığına dair bir kanıt belirtilmedi.
