Es wurden 46 Milliarden Dollar an gefälschtem Bitcoin generiert – und davon wurden 336.000 Dollar abgehoben.

Am 11. September griff ein Angreifer das BridgeV2-Contract hinter Symbiosis an – einem Cross-Chain-Swapp-Protokoll – und fälschte Bitcoin. Blockaid, das Sicherheitsunternehmen, das den Angriff live erkennen konnte,…Betrachten Sie den Wert dessen, was hergestellt wurde, als etwa 46 Milliarden Dollar.Dann der AngreiferVerkaufte 4,39 des echten Geldes auf Uniswap und behielt etwa 336.000 Dollar bei sich..

Dieser Unterschied – 46 Milliarden Dollar, die gedruckt wurden, und 336.000 Dollar, die einfach so verloren gingen – ist kein Tippfehler. Das ist die ganze Lehre: Eine Brücke kann Geld schaffen, das sie nicht hat; sie kann dieses Geld nur in Bargeld umwandeln, wenn es über genügend Liquidität im Hintergrund gibt. Der Rest des Geldes wurde nie umgewandelt, weil es nichts zu verkaufen gab.

Wie ein Druckknopf entsteht

Symbios’ Bitcoin-Brücke erzeugt den Token syBTC – einen Token, der dazu dient, Bitcoin auf anderen Chains exakt zu tracken. Die Konstruktion ist theoretisch einfach: Die Brücke stellt syBTC her, nur wenn echte BTC auf der Quellchain gesichert sind. Somit soll jeder syBTC, der im Umlauf ist, mit echten Bitcoin verbunden sein.

Das Problem war, dass der Vertrag eine signierte Nachricht überprüfte – aber nie überprüfte, ob der Betrag in dieser Nachricht mit dem tatsächlich gesperrten Bitcoin übereinstimmte. Ein Angreifer, der eine gültige Anweisung durchführen konnte, könnte syBTC erzeugen, ohne dass irgendeine Garantie dafür bestand. Das ist also der Mechanismus – und es lohnt sich, ihn zu nennen, denn genau das passiert auch in der letzten Woche: Software, die Coins signiert, die ihr nie zugewiesen wurden.

Zwei Lesarten einer Geldbörse

Was für den Angreifer wirklich zählt, ist das „Produkt“ des Angriffs selbst. Insgesamt wurden etwa 2^62 RohEinheiten von syBTC geschaffen – ein Wert von mehreren Zehnteln Milliarden Dollar. Doch syBTC kann nur in echtes Geld umgewandelt werden, indem es einen bestimmten Pool an Geld entzieht. Die Pools auf der Zielkette konnten jedoch keine solche Menge an syBTC akzeptieren. Der Angreifer setzte also 4,39 WBTC – etwa 336.000 Dollar – aus. Der verbleibende „falsche“ Vorrat blieb ungenutzt, da es keinen entsprechenden Reservoir und keinen Käufer in einer angemessenen Größe gab.

Das ist dieselbe Unterscheidung, die auch auf alle „wrapped-bitcoin“-Daten angewandt werden sollte. Eine eingeprägte Balance ist ein Anspruch auf einen Druckknopf – nicht auf einen Tresor. Ihr Wert existiert nur solange, bis die Liquidität dazu führt, dass sie nicht verkauft werden kann. Nennen Sie den Ausstieg vor dem Vertrauen in den Eintritt – hier ist der Ausstiegspreis die Ankündigung von mehr als 3 „wrapped-bitcoin“-Eintrittsversuchen letzte Woche. Die Zahl, die zwischen den beiden Werten liegt, ist die noch nicht veröffentlichte Endverlustzahl.

Symbiose hatEs wurden etwa 15 BTC in eine von der Gruppe kontrollierte Multisig-Transaktion überführt. Dem Angreifer wurde ein Bounty von 20% angeboten, um den Rest zurückzugeben – mit einem Fristdatum bis zum 13. September.– Heute. Lesen Sie es in Ruhe: Eine Belohnung von 20% mit einem festen Zeitrahmen ist eine übliche Methode, um die Schlüssel zurückzukaufen und die tatsächlichen Verluste zu verringern. Lesen Sie es einfach:Der endgültige Verlust ist noch nicht berechnet.Bis zu diesem Zeitpunkt gab es keine technischen Untersuchungen bezüglich des Vorfalls. Der Angreifer hat bereits 336.000 Dollar bei sich – das könnte für ihn ein besserer Ausgang sein als jede Art von Rückzahlung.

Das Muster – nicht das Einmalige.

Das ist das dritte „Wrapped-Bitcoin-Brücken-Problem“ innerhalb von etwa einer Woche. Vorher gab es bereits einige solche Probleme.Liquid Network’s L-BTC verlor fast 4.000 BTC. Nomic’s nBTC wurde durch eine Schwachstelle ausgenutzt – diese Schwachstelle blieb monatelang unentdeckt.Die drei Projekte teilen denselben Vektor: Es geht darum, ein „Wrapper-Project“ dazu zu bringen, Münzen auszustellen, die tatsächlich als Ersatz für echte Bitcoin-Münzen dienen sollen. Keines dieser Projekte hat sich mit der Grundstruktur von Bitcoin beschäftigt – der Kompromiss liegt immer im Softwaremodul, das die Wrapper erstellt, und nicht in dem Konsens, der hinter Bitcoin steht.

Für einen Retail-Besitzer bedeutet das nichts anderes als eine operative Konsequenz – keine Vorhersage des Unheils. Wenn Sie Bridged- oder Wrapped-Bitcoin halten, sollten Sie wissen, was diese Werte unterstützt: Es handelt sich dabei um echte Reserven, die man tatsächlich abrufen kann – im Gegensatz zu einer „Print-Option“, die nur auf Anfrage erstellt wird. Überprüfen Sie außerdem die Höhe der Kapitalmenge, aus der Sie tatsächlich aussteigen können – schließlich wird der Nominalwert nur bis zum Liquiditätshoch konvertiert werden können. Und betrachten Sie eine unklare Schadenssumme wie dieses Display eine unklare Wallet – als offene Frage, bis die Zahl endgültig feststeht.

Das „Playbook“ hier läuft ab, sobald die Zahlen feststehen. Die Frist für die Zahlung der Belohnung geht heute zu Ende. Sobald Symbiosis die endgültigen Ergebnisse sowie eine Analyse des Vorfalls veröffentlicht, wird der Vorfall von einer aktiven Watchlist in ein registriertes Fallfall ausgewandert, das man bewerten kann. Bis dahin gilt die Regel, die auch bei den 46 Milliarden Dollar betrifft: Ein „Wrapped Token“ ist nur so wertvoll wie die Liquidität, die dahinter steckt. Der „Print-Button“ ist also keine Bilanzangabe.