Symbiosis teilte mit, dass es 15 Bitcoin im Zuge eines Bridge-Hack wiedergefunden hat und bietet nun eine Belohnung von 20 % für alle, die bei der Wiedererlangung des restlichen Betrags helfen können. Der Kniff dabei ist, dass diese neue Belohnung darauf abzielt, die gestohlenen Gelder zu finden, während der ursprüngliche White-Hat-Bounty, den der Angreifer ignorierte, dazu gedacht war, den Dieb dazu zu bringen, das Geld selbst zurückzugeben.
Das Cross-Chain-Liquiditäts-Protokoll erlitt den Exploit am Freitag, und die Details sind noch nicht vollständig geklärt.
Wiedererlangung der Gelder
Symbiosis teilte mit, dass es 15 Bitcoin im Wert von etwa 1,1 Millionen Dollar im Zuge seines nativen Bitcoin-Bridge-Exploits wiedergefunden hat. Die Gelder wurden in eine teamkontrollierte Multi-Sig-Wallet geleitet, und das Protokoll präzisierte in einem X-Post vom Freitag, dass alle Routen weiterhin betriebsbereit sind. Die Bridge selbst ist vorerst pausiert.
Die Adresse des Angreifers prägte 46,1 Milliarden ungedeckte Token von der Bitcoin-Bridge des Protokolls, realisierte aber laut der Blockchain-Sicherheitsfirma Blockaid, die den Exploit am Freitag meldete, einen Nettogewinn von 4,3 Wrapped Bitcoin im Wert von 336.000 Dollar. Symbiosis hat noch nicht erklärt, wie die wiedergefundenen Bitcoin mit diesen Erlösen zusammenhängen.
Die Bounty-Wende
Nun tut Symbiosis etwas Ungewöhnliches: es zahlt eine Belohnung für Informationen aus, die zur Wiedererlangung von Vermögenswerten führen. Die 20-prozentige Belohnung gilt für jeden, der Informationen liefert, die zur Wiedererlangung von Vermögenswerten führen.
Der Schritt lässt sich als Wechsel von der Bitte an den Angreifer, die Gelder zurückzugeben, hin zur Verlagerung der Last auf andere, um sie zu finden, interpretieren. Es ist auch eine Möglichkeit, Druck auf die Situation aufrechtzuerhalten, während das Protokoll seine endgültige Aufstellung der Verluste sortiert.
DefiLlama schätzte einen Verlust von rund 336.000 Dollar durch den Exploit, aber das Protokoll hat noch keine endgültige Aufstellung der Verluste bekannt gegeben.
Bridge-Exploits setzen DeFi immer wieder auf die Probe
Symbiosis ist nicht das einzige Projekt, das kürzlich einen Bridge-Exploit erlitten hat. Das Muster ist inzwischen so vertraut, dass es nachverfolgt werden kann:
- Im Juni erlitt Secret Network einen „unendlichen Präge“-Exploit, der rund 4,6 Millionen Dollar aus dem Protokoll abzogen.
- Im Mai wurde die Verus-Ethereum-Brücke durch eine gefälschte Cross-Chain-Transfer-Exploit-Attacke um 5.402 Ether geleert, zu diesem Zeitpunkt etwa 11,6 Millionen Dollar wert.
Im Verus-Ethereum-Fall hat der Hacker 75 % der gestohlenen Gelder zurückgegeben und etwa 1.350 Ether, oder 2,8 Millionen Dollar, behalten, einen Tag nachdem das Protokoll ihm eine 25%-White-Hat-Belohnung angeboten hatte.
Diese Gegenüberstellung ist bemerkenswert, da sie zeigt, wie unterschiedliche Angreifer auf White-Hat-Angebote reagieren. Einige geben fast alles zurück, andere nehmen einen Anteil und gehen, und wieder andere ignorieren das Angebot vollständig.
Was wir bisher wissen
Der Zeitablauf der Symbiosis-Exploit-Attacke lässt sich relativ einfach darlegen:
- Der Angriff ereignete sich am Freitag und richtete sich gegen die native Bitcoin-Brücke.
- Der Angreifer prägte 46,1 Milliarden ungedeckte Token.
- Die Nettogewinne betrugen 4,3 Wrapped Bitcoin, im Wert von 336.000 Dollar.
- Blockaid meldete die Exploit-Attacke am Freitag.
- Symbiosis konnte 15 Bitcoin, im Wert von rund 1,1 Millionen Dollar, in eine Multi-Sig-Wallet zurückgewinnen.
- Die Frist für die White-Hat-Belohnung ist am Sonntag ohne Antwort abgelaufen.
- Symbiosis kündigte anschließend eine 20%-Belohnung für die Wiederbeschaffung an.
Was fehlt, ist Klarheit darüber, wie die wiedergefundenen Bitcoins im Zusammenhang mit den 336.000 Dollar an Erlösen stehen. Symbiosis hat nicht gesagt, ob die wiedergefundenen Mittel von derselben Adresse, derselben Transaktion oder einer separaten Wiederherstellungsaktion stammten.
Was das für Liquiditätsanbieter bedeutet
Symbiosis sagte, es werde einen Rahmen für die Entschädigung betroffener Liquiditätsanbieter vorstellen. Das ist ein Versprechen, keine Zahlung, und lässt offen, wie viel das Protokoll tatsächlich zurückgeben kann.
Die verbleibenden 336.000 Dollar an Erlösen sind nicht verzeichnet, und das Protokoll hat nicht gesagt, ob es irgendwelche Hinweise auf den Aufenthaltsort dieser Gelder hat.
Die 20-prozentige Belohnung ist ein Anreiz für alle mit Informationen, aber es ist ein kleiner Anteil von einer kleinen Summe Geld. Das Protokoll ist darauf angewiesen, dass jemand außerhalb des Kreises des Angreifers nützliche Daten hat.
Was offen bleibt
Das größte Unbekannte ist, ob die Wiederherstellungsbelohnung Ergebnisse erzielt. Symbiosis hat seine endgültige Aufstellung der Verluste nicht offengelegt, und das Protokoll hat nicht gesagt, ob die wiedergefundenen Bitcoins von derselben Quelle stammen wie die 336.000 Dollar an Erlösen.
Die verbleibenden 336.000 Dollar an Erlösen sind nicht verzeichnet, und das Protokoll hat nicht gesagt, ob es irgendwelche Hinweise auf den Aufenthaltsort dieser Gelder hat.
Die wiedergefundenen 15 Bitcoins sind ein Erfolg für Symbiosis, aber sie schließt die Angelegenheit nicht ab. Der Angreifer hat nicht auf das Angebot für „White-Hat“-Helfer reagiert, und die Wiederherstellungsbelohnung ist ein Schuss ins Blaue.
Ob sich die Belohnung auszahlt, bleibt abzuwarten.
Das Notizbuch abonnieren.
Die besten Geschichten des Tages und jedes neue Urteil, in klarem Deutsch, um sieben im Postfach. Eine Mail am Tag, nicht mehr.