Le hack de Symbiosis transforme 25 centimes en 46 milliards de syBTC
Le bug a touché la Bitcoin Bridge de Symbiosis sur BNB Chain, Ethereum et Rootstock. Les dommages sont restés limités à environ 9,97 BTC, malgré 46,1 milliards de syBTC mintés.
À retenir
- Un hacker a minté, via la Bitcoin Bridge de Symbiosis, 46,1 milliards de faux syBTC avec environ 25 centimes de bitcoin.
- Deux erreurs logicielles ont fait apparaître le bridge comme si l’attaquant était un déposant autorisé et un administrateur, ce qui a fait augmenter l’apport au lieu de le réduire.
- Symbiosis estime provisoirement les dommages à 9,97 BTC et a mis la Bitcoin Bridge hors ligne pour une reconstruction et un audit.
Un hacker a minté via la Bitcoin Bridge de Symbiosis 46,1 milliards de faux syBTC pour environ 25 centimes de bitcoin. Selon le projet, l’attaque a commencé avec 330 satoshis et les pertes provisoires sont montées à 9,97 BTC, soit environ 770 000 $ (666 600 €).
Comment le bug fonctionnait
Symbiosis permettait aux utilisateurs d’échanger des tokens entre blockchains, même lorsque ces tokens n’étaient normalement pas pris en charge directement sur celles-ci. Dans le post-mortem, il est indiqué que deux erreurs logicielles ont rendu l’attaque possible. Le bridge examinait la mauvaise partie d’une transaction Bitcoin pour déterminer qui avait envoyé les fonds.
L’attaquant a ainsi pu faire croire au système qu’il était à la fois un déposant autorisé et l’administrateur du bridge. Avec ces droits supplémentaires, le hacker a pu fixer les frais minimaux en dessous de zéro. Un deuxième bug a ensuite déduit ces frais négatifs du montant du dépôt, ce qui a fait augmenter l’apport au lieu de le réduire.
Les données blockchain consultées par CoinDesk montrent que l’attaquant a traité en environ quatre minutes 12 faux dépôts sur BNB Chain, Ethereum et Rootstock. Cela a finalement permis de créer environ 46,1 milliards de syBTC, soit plus de 2 000 fois l’offre maximale de Bitcoin, fixée à 21 millions de coins.
Des dommages restés limités
Symbiosis a indiqué qu’avant l’attaque, il n’existait que 13,91 syBTC. Sur ce total, 11,26 syBTC se trouvaient dans des pools de liquidité liés à WBTC, cbBTC, BTCB et RBTC. L’écart important entre la quantité de tokens mintés et la perte réelle s’explique par le fait que des tokens de bridge non couverts ne donnent pas de vrais bitcoins à rembourser. L’attaquant n’a donc pu retirer de la valeur que de la liquidité réelle liée au bitcoin déjà présente dans le système.
L’entreprise crypto estime provisoirement les dommages à 9,97 BTC. Symbiosis conserve encore environ 8 millions de dollars (6,9 millions d’euros) de TVL, tandis qu’au cours des 30 derniers jours elle a traité environ 146 millions de dollars (126 millions d’euros) de volume de bridge, selon DefiLlama. Le projet indique vouloir absorber les fonds volés grâce à une partie du bitcoin retiré pendant l’attaque et à des mécanismes de compensation distincts pour les fournisseurs de liquidité touchés.
Pourquoi cela compte au-delà du projet
Cette attaque s’inscrit dans une année où les hacks de bridges cross-chain ont déjà causé plus de 328 millions de dollars (284 millions d’euros) de pertes. Cela rend ce type d’incident pertinent pour les lecteurs européens de crypto, car les bridges constituent souvent un maillon entre différentes blockchains et restent donc une cible attractive. Une attaque précédente sur un bridge liée à un contrôle de dépôt a également montré comment une petite erreur de vérification peut déjà conduire au mint de tokens non couverts.
Symbiosis a mis la Bitcoin Bridge hors ligne pendant que le logiciel côté Bitcoin est réécrit et audité de manière indépendante. Le projet a également fait réaliser un audit plus large. Dans le post-mortem, Symbiosis souligne par ailleurs le rôle de l’IA dans un paysage de sécurité en mutation, car selon l’équipe, des modèles puissants facilitent la recherche de failles logicielles. L’entreprise ne dit pas qu’il existe une preuve que l’attaquant a utilisé l’IA.
