L’hack di Symbiosis trasforma 25 centesimi in 46 miliardi di syBTC
Il bug ha colpito la Bitcoin Bridge di Symbiosis su BNB Chain, Ethereum e Rootstock. Il danno è rimasto limitato a circa 9,97 BTC, nonostante 46,1 miliardi di syBTC coniati.
In breve
- Un hacker ha mintato tramite la Bitcoin Bridge di Symbiosis 46,1 miliardi di finti syBTC con circa 25 centesimi in bitcoin.
- Due errori software hanno fatto sì che la bridge vedesse l’attaccante come depositor autorizzato e amministratore, facendo aumentare il deposito invece di ridurlo.
- Symbiosis stima per ora il danno a 9,97 BTC e ha messo offline la Bitcoin Bridge per ricostruzione e audit.
Un hacker ha mintato tramite la Bitcoin Bridge di Symbiosis 46,1 miliardi di finti syBTC con circa 25 centesimi in bitcoin. Secondo il progetto, l’attacco è iniziato con 330 satoshi e le perdite provvisorie sono salite a 9,97 BTC, cioè circa $770.000 (€666.600).
Come funzionava il bug
Symbiosis permetteva agli utenti di scambiare token tra blockchain, anche quando quei token di solito non erano supportati direttamente lì. Nel post-mortem si legge che due errori software insieme hanno reso possibile l’attacco. La bridge guardava alla parte sbagliata di una transazione bitcoin per capire chi avesse inviato i fondi.
Così l’attaccante è riuscito a far credere al sistema di essere sia un depositor autorizzato sia l’amministratore della bridge. Con quei privilegi extra, l’hacker ha potuto impostare la fee minima sotto zero. Un secondo bug ha poi sottratto quella fee negativa dall’importo del deposito, facendo aumentare il deposito invece di ridurlo.
I dati on-chain che CoinDesk ha esaminato mostrano che l’attaccante ha elaborato in circa quattro minuti 12 finti depositi su BNB Chain, Ethereum e Rootstock. Alla fine sono stati creati circa 46,1 miliardi di syBTC, più di 2.000 volte l’offerta massima di Bitcoin di 21 milioni di coin.
Il danno è rimasto limitato
Symbiosis ha detto che prima dell’attacco esistevano solo 13,91 syBTC. Di questi, 11,26 syBTC erano in pool di liquidità collegati a WBTC, cbBTC, BTCB e RBTC. Il grande divario tra la quantità di token mintati e la perdita reale dipende dal fatto che i token bridge non coperti non generano veri bitcoin da rimborsare. L’attaccante quindi poteva sottrarre valore solo dalla liquidità reale legata a bitcoin già presente nel sistema.
La società crypto stima per ora il danno a 9,97 BTC. Symbiosis mantiene ancora circa $8 milioni (€6,9 milioni) di total value locked, mentre negli ultimi 30 giorni ha elaborato circa $146 milioni (€126 milioni) di volume bridge secondo DefiLlama. Il progetto dice di voler coprire i fondi rubati con una parte del bitcoin sottratto durante l’attacco e con accordi di compensazione separati per i fornitori di liquidità colpiti.
Perché conta più in generale
L’attacco si inserisce in un anno in cui gli exploit dei bridge cross-chain hanno già causato oltre $328 milioni (€284 milioni) di perdite. Questo rende incidenti del genere rilevanti per i lettori crypto europei, perché i bridge spesso sono un anello di collegamento tra blockchain diverse e quindi restano un bersaglio molto appetibile. Anche un precedente attacco a un bridge legato al controllo del deposito ha mostrato come un piccolo errore nella verifica possa già portare al minting di token non coperti.
Symbiosis ha messo offline la Bitcoin Bridge mentre il software lato Bitcoin viene riscritto e sottoposto a un audit indipendente. Il progetto ha anche fatto eseguire un audit più ampio. Nel post-mortem, Symbiosis cita inoltre l’AI come parte di un panorama di sicurezza in evoluzione, perché secondo il team i modelli potenti rendono più facile trovare errori software. L’azienda non dice che ci siano prove che l’attaccante abbia usato l’AI.
