本サイトの記事や画像は、AIが公的資料や複数の報道を基に事実関係を整理・再構成し制作したものです。[続きを表示]特定の報道内容や表現を再利用・要約することを目的としたものではありません。ただし、誤りや不確定な情報が含まれる可能性がありますので、参考の一助としてご覧いただき、実際の判断は公的資料や各出典元の原文をご確認ください。[私たちの取り組み]
CoinDeskなどによると、Symbiosisの「Bitcoin Bridge」で、BTC入金を基に発行するトークン「syBTC」が裏付け資産なしに約461億枚作られた。起点は330サトシ（約25セント相当）。二つの不具合を組み合わせた攻撃で、同社はブリッジの改修と監査を進めている。
送金者を管理者と誤認、負の手数料で大量発行
Symbiosisの説明によると、今回の攻撃では二つの不具合が組み合わされた。
一つ目は、ビットコインの入金者を確認する処理の不具合だ。システムが取引データの誤った部分を参照したため、攻撃者を通常の入金者だけでなく、ブリッジの設定を変更できる管理者としても扱ってしまった。
二つ目は、手数料の計算方法に関する不具合だった。攻撃者は得た管理者権限を使い、最低手数料を負の値に変更した。
通常は「入金額－手数料」で発行するsyBTCの量を計算する。しかし手数料がマイナスになると、「入金額－マイナスの手数料」となり、引くはずの手数料が逆に加算される形になる。このため、実際にはごく少額しかBTCを入金していないにもかかわらず、計算上は非常に大きな入金があったように扱われ、大量のsyBTCを発行できたとされる。
CoinDeskによると、攻撃者は330サトシ（約25セント相当）の入金を起点に、約4分間でBNB Chain、Ethereum、Rootstock上の計12件の不正処理を行い、約461億syBTCを発行した。
発行量と実損は別、暫定損失は9.97BTC
約461億syBTCは裏付けのないトークンの発行量で、同量のBTCが流出したわけではない。CoinDeskなどによると、攻撃者はイーサリアム上で約4.39WBTCを売却し、約33万6000ドルを得た。SymbiosisはLPと影響ユーザーの損失を暫定的に9.97BTCと見積もり、退避資金の一部と個別プランによる補償方針を示している。
Symbiosisは攻撃後に自前のBitcoin Bridgeを停止した。ChainflipとTHORChain経由のビットコインスワップは再開済みだが、同ブリッジは停止を継続している。ビットコイン側ロジックを書き直し、独立監査を経て再稼働する方針で、システム全体の監査も依頼している。
