Symbiosis — одна из множества полезных DeFi-сетей, позволяющих пользователям торговать практически любой криптовалютной парой без необходимости обращаться к бирже. Сеть работает уже пять лет и объединяет около 50 различных блокчейнов. Полная зависимость экосистемы исключительно от смарт-контрактов (кода, размещенного в блокчейне и доступного для всеобщего обозрения) логична, но парадоксальным образом создает проблему подотчетности. Это проявилось 11 сентября, когда Symbiosis подверглась взлому на сумму не менее 770 000 долларов США, или 9,97 BTC.
Смарт-контракты публикуются в самих блокчейнах и по определению являются открытыми. Это означает, что любой может найти ошибку, и вор, взломавший Symbiosis, нашел две: неуказанный эксплойт повышения привилегий, позволивший ему подделать права администратора сети, а также простейшую ошибку в коде — непроверенное условие положительного значения комиссии за транзакцию.
Метод был прост: получив права администратора, вор установил отрицательное значение комиссии за транзакцию, а затем инициировал 12 транзакций. Поскольку комиссия за транзакцию стала отрицательной, вместо вычета из перемещаемой суммы она добавлялась к ней. Вор потратил всего 330 сатоши (наименьшая единица BTC), около 25 центов, но ему удалось выпустить 46 миллиардов syBTC — BTC, обернутых в сеть Symbiosis. Для сравнения, максимальное теоретическое количество BTC в обращении составляет 21 миллион.
Эти токены syBTC сами по себе ничего не значили, поскольку не были обеспечены, но они были торгуемы. И вор торговал, продавая syBTC против соответствующих обернутых пар, включая BTCB, cbBTC, WBTC и RBTC, опустошая эти пулы и нанеся ущерб на сумму, эквивалентную 770 000 долларов США в BTC. Известно, что он успел конвертировать лишь около 336 000 долларов США в наличные через Uniswap, прежде чем его остановили.
Остальные токены обернутого BTC были помечены фирмами по безопасности и биржами, что затруднило их использование вором. Однако это мало утешает пострадавших до тех пор, пока вор сам не вернет токены или не будет привлечен к ответственности по закону. Некоторые из них, как cbBTC от Coinbase, выпускаются централизованными организациями и могут быть аннулированы и перевыпущены после юридического процесса, но другие, как RBTC, — нет.
Для непосвященных DeFi (децентрализованные финансы) пулы можно в целом описать как автоматизированные торговые хранилища. Они работают в существующих блокчейн-сетях, таких как Ethereum или Solana, через смарт-контракты, и позволяют пользователям торговать напрямую против средств в пуле, без участия третьей стороны. Депозиторы, предоставляющие ликвидность пулу, получают долю комиссий за транзакции всякий раз, когда другие пользователи торгуют с пулом.
Пример: заблокируйте 1 ETH, и вы будете получать небольшую сумму всякий раз, когда кто-то покупает или продает ETH, фактически получая “проценты” на хранящуюся валюту практически без усилий. Трейдеру не нужно было взаимодействовать ни с кем, кроме фрагмента кода — смарт-контракта. Чтобы транзакции работали, DeFi-сети “оборачивают” другие токены в свои вариации, например, BTC превращается в syBTC.
Symbiosis заявляет о намерении погасить возникшие долги, утверждая, что “часть будет возвращена из выведенных средств, и каждому поставщику ликвидности будет предложен индивидуальный план компенсации”. На практике это означает, что Symbiosis будет вести переговоры с крупными держателями обернутого BTC в своем пуле и предложит им долговую расписку, пакет долговых обязательств с процентами или их вариацию/комбинацию. В таких ситуациях ожидается (хотя и не гарантируется), что крупные держатели примут предложение, поскольку принудительная ликвидация полностью разрушит сеть и принесет им лишь крохи от виртуального доллара.
Проект также сообщил, что перепишет логику, связанную с Bitcoin, и запросил независимый аудит перед внедрением нового кода. Аналогично, он утверждает, что запросил полный аудит “всей системы”. Symbiosis также заявляет, что “способные ИИ-модели снизили стоимость поиска подобных ошибок”, что является вполне обоснованным аргументом, но вряд ли найдет широкое применение, учитывая высокий риск работы с деньгами, а также тот факт, что кто-то упустил базовую проверку отрицательного значения всего лишь в нескольких тысячах строк кода.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Bruno Ferreira
