가상자산 공격자, 25센트 예치로 46 Billion 가짜 Bitcoin 토큰 발행

source: Shattered

CoinDesk에 따르면, 9월 11일 한 공격자가 Symbiosis 크로스체인 브릿지의 두 가지 소프트웨어 결함을 악용하여 약 25 cents 가치의 초기 예치금으로 약 46.1 billion 합성 bitcoin 토큰을 생성했습니다.

Symbiosis는 해당 자산이 기본적으로 지원되지 않는 블록체인 간에 사용자가 토큰을 스왑할 수 있도록 하는 프로토콜입니다. 이 플랫폼은 화요일에 공격이 어떻게 전개되었는지 설명하는 사후 분석 보고서를 발표했습니다.

공격자는 bitcoin의 가장 작은 단위인 330 satoshis를 예치하고, 약 4분 동안 BNB Chain, Ethereum 및 Rootstock에서 12건의 사기 거래를 처리했습니다.

결과물인 syBTC라고 불리는 토큰은 시스템이 보유한 실제 bitcoin을 나타내도록 설계되었습니다. 대신, 민팅된 46.1 billion 개는 이를 뒷받침하는 실제 bitcoin이 없었으며, 이는 Bitcoin의 하드캡 공급량인 21 million 코인을 2,000 times 이상 초과하는 수치였습니다.

Two Bugs, One Broken Bridge

Symbiosis는 이번 침해 사고가 서로 결합된 두 개의 개별 코딩 오류 때문이라고 분석했습니다.

첫 번째 오류는 브릿지가 발신자를 식별할 때 들어오는 bitcoin 거래의 잘못된 부분을 검사하게 만들었으며, 이로 인해 공격자가 승인된 예치자와 브릿지 관리자로 동시에 나타날 수 있게 했습니다.

두 번째 결함은 음수 수수료를 차감이 아닌 가산으로 처리하여 토큰을 무제한으로 생성할 수 있게 했습니다.

두 버그가 동시에 발생해야 했습니다. shattered.io에 따르면 보안 업체 Blockaid는 공격을 실시간으로 감지했으며, 초기 서명된 거래가 BNB Chain에 새로 생성된 지갑으로 약 2^62 단위의 syBTC를 민팅한 것으로 보고했습니다.

공격자는 이후 그 중 일부를 Ethereum으로 브릿징하고 Uniswap V4 거래소를 통해 4.39 wrapped bitcoin을 판매했습니다. 전체 민팅된 금액의 액면가는 약 $46.1 billion이었으나, 공격자가 실제로 챙긴 금액은 약 $336,000였습니다.

What Symbiosis Lost and What Comes Next

Symbiosis는 예비 손실액을 9.97 BTC로 추정하고 공격이 확인된 직후 Bitcoin 브릿지를 오프라인으로 전환했습니다. Ethereum 기반 스왑 레일, TRON, TON 및 Octopools 유동성 시스템을 포함한 프로토콜의 다른 경로는 계속 작동했습니다.