هکر با 25 سنت بیت‌کوین، 46 میلیارد توکن جعلی بیت‌کوین در یک پل دیفای ساخت

پل بیت‌کوین پروژه Symbiosis، سرویسی که به کاربران امکان می‌دهد توکن‌ها را میان شبکه‌های مختلف جابه‌جا کنند، هدف حمله‌ای قرار گرفت که در آن مهاجم توانست با هزینه‌ای در حد 25 سنت بیت‌کوین، حدود 46 میلیارد توکن جعلی syBTC بسازد. بر اساس گزارش پس‌ازمرگی که روز سه‌شنبه منتشر شد، دو نقص نرم‌افزاری در این پل باعث شد مهاجم 12 واریز جعلی را در شبکه‌های BNB Chain، اتریوم و Rootstock و در حدود چهار دقیقه پردازش کند. نتیجه این عملیات ایجاد حدود 46.1 میلیارد syBTC بود؛ توکنی که قرار است نماینده بیت‌کوین نگهداری‌شده در سیستم باشد. این رقم بیش از 2000 برابر سقف 21 میلیون بیت‌کوین است. طبق توضیح Symbiosis، پل هنگام تشخیص فرستنده وجه، بخش اشتباهی از تراکنش بیت‌کوین را بررسی می‌کرد. همین موضوع به مهاجم اجازه داد سیستم را متقاعد کند که هم واریزکننده تأییدشده است و هم مدیر پل. این دسترسی ارتقایافته باعث شد مهاجم حداقل کارمزد پل را به زیر صفر ببرد. سپس نقص دوم، کارمزد منفی را از مبلغ واریز کم کرد، اما چون عدد منفی بود، به‌جای کاهش، به مبلغ اضافه شد. در نتیجه، واریز می‌توانست تقریباً هر عددی که مهاجم تعیین می‌کرد، ارزش‌گذاری شود. پیش از حمله، عرضه syBTC تنها 13.91 توکن بود و 11.26 syBTC در استخرهای نقدینگی جفت‌شده با WBTC، cbBTC، BTCB و RBTC قرار داشت. برآورد اولیه زیان تأمین‌کنندگان نقدینگی و کاربران آسیب‌دیده 9.97 بیت‌کوین، حدود 770 هزار دلار، است. تفاوت میان تعداد توکن‌های ساخته‌شده و زیان واقعی به ماهیت فرایند مربوط می‌شود. ساخت توکن‌های پشتوانه‌نداشته در پل، دارایی واقعی لازم برای بازخرید آن‌ها را ایجاد نمی‌کند. مهاجم فقط می‌توانست از نقدینگی واقعی مرتبط با بیت‌کوین که در سمت دیگر قرار داشت، ارزش خارج کند. بر اساس داده‌های DefiLlama، Symbiosis در حال حاضر حدود 8 میلیون دلار ارزش کل قفل‌شده دارد، هرچند در 30 روز کامل گذشته حدود 146 میلیون دلار حجم پل را پردازش کرده است. این پروژه اعلام کرد قصد دارد بخشی از وجوه سرقت‌شده را با استفاده از بیت‌کوین‌هایی که در جریان حمله خارج شد، پوشش دهد و ترتیبات جبران خسارت جداگانه‌ای برای تأمین‌کنندگان نقدینگی آسیب‌دیده در نظر بگیرد. پل بیت‌کوین بومی این پروژه تا بازنویسی و ممیزی مستقل نرم‌افزار سمت بیت‌کوین آفلاین می‌ماند. Symbiosis همچنین ممیزی گسترده‌تری از سیستم را سفارش داده است. در گزارش پس‌ازمرگ، به هوش مصنوعی به‌عنوان بخشی از محیط امنیتی در حال تغییر اشاره شده است؛ این گزارش می‌گوید مدل‌های قدرتمند یافتن آسیب‌پذیری‌های نرم‌افزاری را ارزان‌تر می‌کنند. اما مشخص نکرده که شواهدی وجود دارد که مهاجم از هوش مصنوعی استفاده کرده است.