Symbiosis跨链桥协议因技术缺陷额外生成460亿枚syBTC代币

跨链应用Symbiosis的比特币桥服务因两个软件缺陷，被操作者利用极小的存款金额制造了大量代表比特币的桥接代币。

事件概况

Symbiosis是一款允许用户在不同区块链之间交换代币的服务。项目方在周二发布的事后分析报告中指出，其比特币桥中存在两处软件缺陷，使操作者能够创建大量syBTC代币。syBTC是一种代表该桥系统内比特币持有量的代币。

技术细节

第一处缺陷导致桥接系统在处理比特币交易时识别发送方出现错误，操作者借此同时获得了已批准存款人和桥管理员的双重权限。该高级权限使其能够将桥的最低费用设为负数。第二处缺陷则使得系统在处理存款时将负费用视为增加项，即从存款金额中减去负费用反而变成了增加——这意味着存款金额可以被系统认定为操作者提供的任意数值。

攻击过程与数据

链上数据显示，操作者在约四分钟内通过BNB Chain、以太坊和Rootstock处理了12笔虚假存款，最终创建了约461亿枚syBTC，这一数量是比特币2100万枚总供应量的2000倍以上。而操作者最初存入的仅为330聪（比特币最小单位），价值约25美分。

损失评估

Symbiosis表示，在事件发生前，syBTC总供应量仅为13.91枚，其中11.26枚存放在与WBTC、cbBTC、BTCB和RBTC配对的流动性池中。项目方初步估计对流动性提供者和受影响的用户造成的损失约为9.97 BTC（约77万美元）。创建大量无背书桥接代币并不会产生实际赎回所需的资产，操作者只能提取对侧实际存在的比特币相关流动性。

项目方应对

Symbiosis目前持有约800万美元的总锁仓价值，过去30天处理了约1.46亿美元的桥接交易量。项目方表示将使用事件中紧急转移的部分比特币以及单独的补偿安排来覆盖受影响流动性提供者的资金。其原生比特币桥已暂停服务，团队正在重写比特币端软件并进行独立审计，同时委托对系统进行更全面的审计。

报告还提到，人工智能正在改变安全环境，强大的模型使得软件漏洞的发现成本降低，但未说明是否有证据表明操作者使用了AI。

信息来源：CoinDesk