Публікація

Депозиту в Bitcoin на 25 центів було достатньо, щоб виявити серйозний збій у безпеці мосту.



11 вересня зловмисник домігся карбування приблизно 46.1B syBTC лише з 330 сатоші.

Важливим є не величезне число.

А порушене правило, що лежить в основі:

Заблоковані BTC = викарбувані токени, забезпечені BTC

Дві проблеми з валідацією дозволили системі трактувати крихітний депозит як значно більшу суму.

До зупинки постраждалого маршруту фактично було виведено лише близько 4.39 WBTC на суму приблизно $336K.

Висновок простий:

Мости мають перевіряти реальні активи, заблоковані перед створенням токенів, які їх представляють.

Одне неперевірене вхідне значення може зруйнувати всю модель обліку.

$BTC

#Bitcoin #DeFi
Переглянути оригінал
post-image
Ця сторінка містить сторонній контент і не є жодною порадою та не означає, що Gate схвалює такі погляди. Докладніше див. застереження.
BTCBTC-0,67%

  • 3

Додати коментар
Додати коментар

Прокоментувати 11
UnlockDate
Блокування та мінт мають відповідати одне одному у співвідношенні 1:1 — якщо можна порушити навіть таке просте правило, то чи зберігається ще основа довіри до кросчейн-моста?
GateUser-5aa9b606
btcoin давнє$$$$
GateUser-5aa9b606
давній btcoin
GateUser-5aa9b606
добре$$$$$
chichipipi
До перевірки безпеки мосту справді не можна ставитися недбало: за 0.25 долара можна пробити таку величезну діру, команді розробників слід ґрунтовно все переглянути.
toriqulislamesha
Привіт усім, ас-саляму алейкум, як ви?
HistoryMonitor
Репутація $WBTC знову постраждала, тож надалі користувачам потрібно обережніше обирати мости, не можна орієнтуватися лише на розмір TVL.
ThetaSideEye
330 сатоші перетворилися на 46 сотень мільйонів — це співвідношення конвертації ще абсурдніше, ніж у зимбабвійського долара, математику в системі викладав учитель фізкультури?
MVRVThermometer
Безпековою перевіркою мосту справді не можна нехтувати: 0.25 долара вистачило, щоб пробити таку величезну діру, тож команді розробників варто ґрунтовно все проаналізувати.
FractionCollector
Ключова проблема все ще в тому, що перевірку вхідних даних виконали неналежним чином; такі елементарні помилки в DeFi постійно повторюються — чим узагалі займалися аудитори?
MemeMiner
46.1B токенів — від самої цифри аж в очах рябить, добре, що в пастці опинилися лише 33万 баксів, інакше було б ще гірше