Публікація

Депозиту в Bitcoin на 25 центів було достатньо, щоб виявити серйозний збій у безпеці мосту.



11 вересня зловмисник домігся карбування приблизно 46.1B syBTC лише з 330 сатоші.

Важливим є не величезне число.

А порушене правило, що лежить в основі:

Заблоковані BTC = викарбувані токени, забезпечені BTC

Дві проблеми з валідацією дозволили системі трактувати крихітний депозит як значно більшу суму.

До зупинки постраждалого маршруту фактично було виведено лише близько 4.39 WBTC на суму приблизно $336K.

Висновок простий:

Мости мають перевіряти реальні активи, заблоковані перед створенням токенів, які їх представляють.

Одне неперевірене вхідне значення може зруйнувати всю модель обліку.

$BTC

#Bitcoin #DeFi
Переглянути оригінал
post-image
Ця сторінка може містити контент третіх осіб, який надається виключно в інформаційних цілях (не в якості запевнень/гарантій) і не повинен розглядатися як схвалення його поглядів компанією Gate, а також як фінансова або професійна консультація. Див. Застереження для отримання детальної інформації.
BTCBTC-3,27%

  • 1

Додати коментар
Додати коментар

Прокоментувати
HistoryMonitor
12 хвилин тому
Репутація $WBTC знову постраждала, тож надалі користувачам потрібно обережніше обирати мости, не можна орієнтуватися лише на розмір TVL.
0Переглянути оригінал
ThetaSideEye
29 хвилин тому
330 сатоші перетворилися на 46 сотень мільйонів — це співвідношення конвертації ще абсурдніше, ніж у зимбабвійського долара, математику в системі викладав учитель фізкультури?
0Переглянути оригінал
MVRVThermometer
30 хвилин тому
Безпековою перевіркою мосту справді не можна нехтувати: 0.25 долара вистачило, щоб пробити таку величезну діру, тож команді розробників варто ґрунтовно все проаналізувати.
0Переглянути оригінал
FractionCollector
35 хвилин тому
Ключова проблема все ще в тому, що перевірку вхідних даних виконали неналежним чином; такі елементарні помилки в DeFi постійно повторюються — чим узагалі займалися аудитори?
0Переглянути оригінал
MemeMiner
39 хвилин тому
Перший огляд
46.1B токенів — від самої цифри аж в очах рябить, добре, що в пастці опинилися лише 33万 баксів, інакше було б ще гірше
0Переглянути оригінал