Symbiosis-Hack verwandelt 25 Cent in 46 Milliarden syBTC
Der Bug betraf die Bitcoin Bridge von Symbiosis auf BNB Chain, Ethereum und Rootstock. Der Schaden blieb trotz 46,1 Milliarden geminteter syBTC auf rund 9,97 BTC begrenzt.
Wichtigste Erkenntnisse
- Ein Hacker mintete über die Bitcoin Bridge von Symbiosis mit etwa 25 Cent in Bitcoin 46,1 Milliarden gefälschte syBTC.
- Zwei Softwarefehler ließen die Bridge den Angreifer als autorisierten Depositor und Administrator erkennen, wodurch der Einsatz größer statt kleiner wurde.
- Symbiosis schätzt den Schaden vorläufig auf 9,97 BTC und hat die Bitcoin Bridge für einen Neuaufbau und ein Audit offline genommen.
Ein Hacker hat über die Bitcoin Bridge von Symbiosis für etwa 25 Cent in Bitcoin 46,1 Milliarden gefälschte syBTC gemintet. Laut dem Projekt begann der Angriff mit 330 Satoshi, und die vorläufigen Verluste stiegen auf 9,97 BTC, also etwa $770.000 (€666.600).
Wie der Bug funktionierte
Symbiosis ermöglichte es Nutzern, Tokens zwischen Blockchains zu swappen, auch wenn diese Tokens dort normalerweise nicht direkt unterstützt werden. Im Post-Mortem steht, dass zwei Softwarefehler den Angriff gemeinsam möglich machten. Die Bridge schaute auf den falschen Teil einer Bitcoin-Transaktion, um zu bestimmen, wer das Geld gesendet hatte.
Dadurch konnte der Angreifer das System glauben lassen, er sei sowohl ein autorisierter Depositor als auch der Administrator der Bridge. Mit diesen zusätzlichen Rechten konnte der Hacker die Mindestgebühr unter null setzen. Ein zweiter Bug zog diese negative Gebühr anschließend vom Einzahlungsbetrag ab, wodurch der Einsatz größer statt kleiner wurde.
Blockchain-Daten, die CoinDesk geprüft hat, zeigen, dass der Angreifer in etwa vier Minuten 12 gefälschte Einzahlungen über BNB Chain, Ethereum und Rootstock verarbeitete. Dadurch wurden letztlich etwa 46,1 Milliarden syBTC erzeugt, mehr als das 2.000-Fache des maximalen Bitcoin-Angebots von 21 Millionen Coins.
Schaden blieb begrenzt
Symbiosis sagte, dass es vor dem Angriff nur 13,91 syBTC gab. Davon steckten 11,26 syBTC in Liquiditätspools, die mit WBTC, cbBTC, BTCB und RBTC verbunden waren. Die große Lücke zwischen der Menge geminteter Tokens und dem tatsächlichen Verlust kommt daher, dass ungedeckte Bridge-Tokens keine echten Bitcoins zur Rückzahlung liefern. Der Angreifer konnte also nur Wert aus der echten bitcoin-gebundenen Liquidität abziehen, die bereits im System vorhanden war.
Das Kryptounternehmen schätzt den Schaden vorläufig auf 9,97 BTC. Symbiosis hält selbst noch rund $8 Millionen (€6,9 Millionen) an Total Value Locked, während es in den vergangenen 30 Tagen laut DefiLlama etwa $146 Millionen (€126 Millionen) an Bridge-Volumen verarbeitet hat. Das Projekt sagt, es wolle die gestohlenen Mittel mit einem Teil der Bitcoin ausgleichen, die während des Angriffs abgezogen wurden, sowie mit separaten Entschädigungsregelungen für betroffene Liquiditätsanbieter.
Warum das breiter relevant ist
Der Angriff passt in ein Jahr, in dem Cross-Chain-Bridge-Exploits bereits für mehr als $328 Millionen (€284 Millionen) an Verlusten gesorgt haben. Das macht solche Vorfälle für europäische Krypto-Leser relevant, weil Bridges oft eine Verbindung zwischen verschiedenen Blockchains sind und deshalb ein attraktives Ziel bleiben. Auch ein früherer Bridge-Angriff auf einen Deposit-Check hat gezeigt, wie schon ein kleiner Fehler in der Verifizierung zum Minten ungedeckter Tokens führen kann.
Symbiosis hat die Bitcoin Bridge offline genommen, während die Bitcoin-Side-Software neu geschrieben und unabhängig auditiert wird. Das Projekt ließ außerdem ein breiteres Audit durchführen. Im Post-Mortem verweist Symbiosis zudem auf KI als Teil einer sich verändernden Sicherheitslandschaft, weil leistungsstarke Modelle es dem Team zufolge einfacher machen, Softwarefehler zu finden. Das Unternehmen sagt nicht, dass es Belege dafür gibt, dass der Angreifer KI verwendet hat.
