האקר יוצר 46 מיליארד טוקני BTC מזויפים ב-Symbiosis תמורת 0.25 דולר בלבד
האקר ניצל שתי פרצות ב-Bitcoin Bridge של Symbiosis כדי ליצור כ-46.1 מיליארד syBTC ללא גיבוי. התוקף נדרש להפקיד 330 סאטושי בלבד, בשווי של כ-0.25 דולר, כדי להתחיל את המתקפה.
מאמר זה תורגם מהמקור. קראו את הגרסה המקורית מאת הכתב שלנו כאן.
לפי הדוח שלאחר האירוע של המפתחים, מספר הטוקנים שנוצרו היה גדול פי יותר מ-2,000 מההיצע המרבי של Bitcoin, העומד על 21 מיליון מטבעות. עם זאת, ההפסדים בפועל היו נמוכים בהרבה: Symbiosis העריכה באופן ראשוני שספקי נזילות ומשתמשים איבדו 9.97 BTC, או כ-770,000 דולר.
Symbiosis מאפשרת למשתמשים להחליף נכסים בין בלוקצ'יינים שונים, בעוד syBTC מייצג Bitcoin שאמור להיות מגובה בנכסים המוחזקים במערכת. לפני המתקפה, היצע syBTC עמד על 13.91 טוקנים בלבד, כאשר 11.26 מהם הוחזקו במאגרי נזילות בצמדים עם WBTC, cbBTC, BTCB ו-RBTC.
שתי פרצות אפשרו ליצור מיליארדי syBTC
לפי דוח האירוע של Symbiosis, הפגיעות הראשונה הייתה במנגנון ששימש לזיהוי השולח של עסקת Bitcoin. הגשר ניתח את החלק הלא נכון בעסקה, ואפשר לתוקף לגרום למערכת לזהות אותו גם כמשתמש מורשה וגם כמנהל הגשר.
לאחר שהשיג הרשאות מוגברות, ההאקר הגדיר את עמלת המינימום לערך שלילי. באג שני נכנס אז לתמונה: בעת חישוב הסכום, המערכת החסירה את העמלה השלילית מההפקדה, ובכך למעשה הוסיפה אותה במקום זאת.
כך ניתן היה להפוך את 330 הסאטושי הראשוניים לסכום גדול כרצוננו בתוך המערכת. נתוני הבלוקצ'יין מראים שהתוקף עיבד 12 הפקדות מזויפות ב-BNB Chain, ב-Ethereum וב-Rootstock בתוך ארבע דקות, ובסופו של דבר יצר כ-46.1 מיליארד syBTC.
עם זאת, יצירת מיליארדי טוקנים ללא גיבוי לא הניבה כמות מקבילה של Bitcoin אמיתי. ההאקר יכול היה לחלץ רק את הנכסים האמיתיים שהיו זמינים במאגרי הנזילות, ולכן ההפסדים בפועל הוגבלו לפחות מ-10 BTC.
Symbiosis משביתה את Bitcoin Bridge
Symbiosis מעריכה את השווי הכולל של הנכסים הנעולים בפרוטוקול בכ-8 מיליון דולר. במהלך 30 הימים שהסתיימו לאחרונה, עברו דרך הגשר כ-146 מיליון דולר.
הפרויקט מסר כי בכוונתו לפצות על הכספים שנגנבו באמצעות חלק מה-Bitcoin שהועבר למקום בטוח במהלך המתקפה, לצד מנגנוני החזר נפרדים עבור ספקי הנזילות שנפגעו. Bitcoin Bridge נותר מושבת, בעוד הצוות משכתב את התוכנה ומכין אותה לביקורת עצמאית.
יום קודם לכן, בעלים של ארנק Gnosis Safe איבד כ-2,900 rsETH בשווי 7.8 מיליון דולר עקב פגם במנגנון ההרשאות של חוזה חכם מסייע. חוקרים מצאו שהפגיעות לא הייתה בחוזי הליבה של Safe, אלא ברכיב צד שלישי שהמשתמש אישר לו גישה לנכסים.
במקרה זה, בדיקת הרשאות פגומה אפשרה לבצע עסקה שכללה את נכסי הארנק. האירוע סיפק דוגמה נוספת לאופן שבו פגיעות בחוזה המחובר לארנק עלולה לגרום להפסדים מבלי שהארנק עצמו ייפרץ.
מוקדם יותר דיווחנו שפרויקטי קריפטו איבדו כמעט מיליארד דולר בפריצות במחצית הראשונה של 2026. הנתונים כללו ניצול לרעה של פרוטוקולים ואירועי אבטחה נוספים שהובילו לגניבת נכסים דיגיטליים.
-
אוגנדה
-
אוזבקיסטן
-
אוסטריה
-
אוסטרליה
-
אוקראינה
-
אורוגוואי
-
אזרבייג'ן
-
איחוד
-
איחוד האמירויות הערביות
-
איטליה
-
אינדונזיה
-
איראן, רפובליקה אסלאמית
-
אירלנד
-
אל סלבדור
-
אלבניה
-
אלג'יריה
-
אנגולה
-
אסוואטיני
-
אסטוניה
-
אפגניסטן
-
אקוודור
-
ארגנטינה
-
ארה״ב
-
ארמניה
-
אתיופיה
-
בהאמה
-
בולגריה
-
בוליביה
-
בוצואנה
-
בחריין
-
בלארוס
-
בלגיה
-
בנגלדש
-
ברוניי דארוסלם
-
ברזיל
-
בריטניה
-
ג'ורג'יה
-
ג'מייקה
-
גאנה
-
גרמניה
-
דנמרק
-
דרום אפריקה
-
האיטי
-
הודו
-
הולנד
-
הונג קונג
-
הונגריה
-
הרפובליקה הדומיניקנית
-
וייטנאם
-
ונצואלה
-
זימבבואה
-
זמביה
-
חוף השנהב
-
טג'יקיסטן
-
טורקיה
-
טייוואן, מחוז סין
-
טנזניה
-
טרינידד וטובגו
-
יוון
-
יפן
-
ירדן
-
ישראל
-
כווית
-
לאוס
-
לבנון
-
לוב
-
לוקסמבורג
-
לטביה
-
ליטא
-
לסוטו
-
מאוריציוס
-
מדגסקר
-
מוזמביק
-
מולדובה
-
מונגוליה
-
מונטנגרו
-
מיאנמר
-
מלזיה
-
מלטה
-
מצרים
-
מקדוניה הצפונית
-
מקסיקו
-
מרוקו
-
נורבגיה
-
ניגריה
-
ניו זילנד
-
נמיביה
-
נפאל
-
סומליה
-
סוריה
-
סין
-
סינגפור
-
סלובניה
-
סלובקיה
-
ספרד
-
סרביה
-
סרי לנקה
-
עומאן
-
עיראק
-
ערב הסעודית
-
פולין
-
פורטו ריקו
-
פורטוגל
-
פיליפינים
-
פינלנד
-
פלסטין
-
פנמה
-
פפואה גינאה החדשה
-
פקיסטן
-
פרגוואי
-
פרו
-
צ'ילה
-
צרפת
-
צ׳כיה
-
קובה
-
קולומביה
-
קונגו
-
קונגו ד׳
-
קוסטה ריקה
-
קוריאה
-
קזחסטן
-
קטאר
-
קירגיזסטן
-
קמבודיה
-
קמרון
-
קנדה
-
קניה
-
קפריסין
-
קרואטיה
-
רואנדה
-
רומניה
-
שוודיה
-
שוויץ
-
תאילנד
-
תוניסיה
-
תימן
- Forex
- Crypto
