Le pont qui a généré 46 milliards de dollars en bitcoins fictifs… et les 336 000 dollars qui comptent vraiment.

Le 11 septembre, un peu après 4 heures du matin UTC, un attaquant a découvert une faille dans le contrat que Symbiosis utilise pour transférer des bitcoins sur d’autres réseaux. Il a demandé au contrat de générer des tokens syBTC, qui servent à remplacer les bitcoins. Le contrat a exécuté cette commande, générant donc une certaine quantité de tokens syBTC. Une société de sécurité estime que cette quantité correspond à une valeur faciale d’environ…46,1 milliardsPuis l’attaquant a essayé de le vendre. Ils sont partis avec environ 336 000 dollars en espèces.

Cette différence absurde – 46 milliards de dollars dépensés pour obtenir un peu plus d’un million de dollars en espèces – est le sujet de l’histoire. C’est également la preuve la plus claire récente de cette distinction qui devient de plus en plus floue entre les transactions comptables et l’argent réel.

Une imprimerie de 46 milliards de dollars qui a versé 336 000 dollars.

Pour comprendre ce qui s’est cassé, il faut savoir ce qu’est en réalité le syBTC. Lorsque Symbiosis permet de transférer des bitcoins vers une autre chaîne, il ne transmet pas les bitcoins réels. Vos bitcoins sont alors stockés dans une réserve, et en échange, le protocole vous donne des syBTC – une sorte de titre de propriété.soutenue 1:1 par ce bitcoin verrouilléIl s’agit d’un compte de dépenses qui peut être converti en retour à tout moment. C’est un registre de dépenses qui est conservé dans une cachette. Il fonctionne uniquement parce que le contrat de souscription doit vérifier, avant chaque création de bitcoins, que les bitcoins réels sont bien derrière ce que l’on crée.

L’exploit a ignoré cette vérification. La faille se trouvait donc dans…Contrat Symbiosis’s BridgeV2Le système valide donc un message signé, sans vérifier que la quantité de bitcoins créée correspond réellement aux bitcoins stockés dans la chaîne source. Le contrat accepte donc des instructions de création de bitcoins sans aucune garantie, et crée des syBTC sans aucune base solide – c’est-à-dire une série de revendications sur un coffre-fort qui ne contient aucun de ces bitcoins.

Ce qui arrête l’attaquant, c’est bien ce qui est essentiel : une créance ne devient de l’argent que lorsqu’on peut en dépenser, et dépenser nécessite de la liquidité. Pour vendre 46 milliards de syBTC fictifs, il faudrait que 46 milliards de offres réelles soient disponibles pour les absorber. Mais aucune telle profondeur de liquidité n’existe. L’attaquant a réussi à vendre environ…4.39 Valeur de WBTCAvant que le protocole ne mette fin au routage, la société de sécurité en chaîne Blockaid, qui a détecté la fraude en temps réel, a indiqué les quantités réelles obtenues.$336,000Faire des prétentions non soutenues ne crée aucune valeur. Cela ne permet que de récupérer toute liquidité réelle qui se trouve à portée de main.

L’écart entre le chiffre affiché et le chiffre réel est une leçon ancienne qui porte désormais de nouveaux vêtements : l’exposition théorique n’est pas une perte. Une banque qui émet des obligations valant un trillion de dollars, que personne ne peut rembourser, a en réalité créé du chaos, mais pas de richesse. Il en va de même sur le marché blockchain : la grande partie de ces syBTC créés, qui se trouvent toujours dans les portefeuilles des attaquants, est du papier sans valeur, car personne ne sera prêt à échanger du Bitcoin réel contre ces tokens dont tout le monde sait qu’ils n’ont aucun soutien véritable.

Trois ponts brisés, une faiblesse.

Le fait important est que Symbiosis n’était pas le seul produit lié au Bitcoin qui a réussi à pirater cette semaine. quelques jours auparavant, le 6 septembre…4 000 BTC équivaut à environ 320 millions de dollars.La fédération a abandonné le portefeuille qui soutenait la réseau Liquid de Blockstream – une vulnérabilité qui permettait l’émission de L-BTC non soutenu par quoi que ce soit, et son échange contre des bitcoins réels. La plupart de ces bitcoins ont ensuite été restitués par ceux qui se disaient “white-hats”. Puis, le 10 septembre…Exploitation de dépense double impliquant nBTC de NomicL’osmose a atteint 22 BTC en temps de gel. Trois ponts différents, trois échecs différents, en une seule semaine.

Ce qu’ils partagent n’est pas un seul problème. C’est la faiblesse structurelle de chaque système de paiement basé sur le Bitcoin : il est aussi sûr que le contrat qui le gère, et aussi sûr que la liquidité qui permet son utilisation. C’est pourquoi les résultats diffèrent tellement. L’exploit de Liquid a entraîné des pertes de centaines de millions de dollars, car il y avait une liquidité suffisante pour déverser l’argent en question. Symbiosis, quant à elle, a subi des pertes d’un millionième de million, car il n’y avait pas de liquidité suffisante. Le même risque fondamental – une faille dans la création de titres de Bitcoin – a entraîné des pertes de manière considérablement plus importante, simplement parce que beaucoup d’argent réel était disponible.

Les 15 BTC et la fenêtre ouverte

Ce qui nous amène à la récupération indiquée dans le titre. Symbiosis a déclaré qu’elle avait récupéré environ…15 BTC en une transaction multisig contrôlée par une équipe— plus, en termes de dollars, que l’attaquant a réussi à obtenir. Il a publié…Bounty de 20 %Vers le 13 septembre, cela s’adressait à l’attaquant. Ensuite, il s’agissait de personnes qui pouvaient récupérer des fonds. Aucune réponse publique n’a été donnée à ce moment-là. Le pont lui-même est toujours en suspens, et la partie la plus importante reste non résolue : le protocole n’a pas encore indiqué quels fournisseurs de liquidité concernés seront compensés, en combien, ou quand. La somme réalisée par l’attaquant est approximativement connue, la somme récupérée est également approximativement connue. Mais la dette envers les personnes dont les bitcoins étaient inscrits sur le côté endommagé de ce compte reste ouverte.

Pour un investisseur en Bitcoin spot, la situation est rassurante : on sait bien quel actif on possède réellement, et il faut être prudent face aux formes de valorisation du Bitcoin. Aucun satoshi de Bitcoin réel n’est en danger – aucun BTC n’a été “piraté”. Ce qui est endommagé, c’est un mécanisme spécifique permettant d’utiliser le Bitcoin sur d’autres réseaux. La confiance qu’il y a dans ce mécanisme provient du registre des comptes qui s’y trouve. Si vous possédez directement du Bitcoin spot, rien ne change cette semaine quant à la sécurité de cet actif. Mais si vous possédez une forme valorisée ou intégrée au Bitcoin, comme syBTC, L-BTC, nBTC, ou toute autre forme que le pool vous fournit lorsque vous déposez votre BTC, alors vous ne possédez pas du Bitcoin réel. Vous possédez plutôt une promesse, soutenue par un contrat que vous n’avez pas lu, protégée par une liquidité que vous ne pouvez pas voir, et validée par un processus de création de Bitcoin dont une seule ligne manque.

C’est tout le problème. La prochaine fois qu’un titre mentionnera un chiffre énorme en lien avec “minted”, le chiffre qui doit être prêt à être surveillé est celui qui indique combien d’argent réel peut être obtenu réellement. Car c’est cela, et non le chiffre lui-même, qui représente la taille de la perte. Et la raison pour laquelle l’industrie surveille trois ponts détruits en une semaine, c’est que le Bitcoin n’est pas fragile. C’est plutôt le système qui l’entoure qui montre, à trois reprises, à quel point une affirmation peut s’avérer fausse.