25 центов превратились для хакера в 46 млрд поддельных биткоинов. 11 сентября злоумышленник атаковал сеть DeFi Symbiosis и вывел активы на сумму не менее $770 000, или 9,97 BTC.
Symbiosis работает около пяти лет и связывает примерно 50 блокчейн-сетей. Сеть даёт пользователям возможность обменивать почти любые криптовалютные пары без обращения к централизованной бирже, а операции выполняют смарт-контракты. Их код размещён в блокчейне и открыт для просмотра, поэтому ошибки может найти любой желающий.
Атакующий обнаружил две уязвимости. Первая позволяла повысить привилегии и имитировать права администратора сети. Вторая возникла из-за отсутствия базовой проверки: смарт-контракт не убеждался, что комиссия за транзакцию имеет положительное значение. Эта ошибка помогла создать огромное количество фальшивых биткоинов и провести атаку.