黑客利用负手续费漏洞盗走77万美元加密资产

IT时代网9月19日消息，据海外媒体报道，去中心化交易平台 Symbiosis 遭到攻击，攻击者利用一处权限提升漏洞和一处未校验交易手续费正负的逻辑缺陷，凭空生成大量代币，并盗走价值约77万美元的比特币资产。

智能合约公开部署在区块链上，代码本身开源，任何人都可以寻找其中缺陷。攻击者先设法伪造了网络管理员权限，随后把交易手续费设置为负数，并连续发起12笔交易。由于手续费为负，转账金额不降反增。

攻击者只花费了330聪（约25美分），却发行出460亿枚 syBTC，也就是封装在 Symbiosis 网络中的比特币。作为参照，比特币的理论最大流通量仅为2100万枚。

这些代币本身没有资产背书，但并不影响交易。攻击者用它们兑换 BTCB、cbBTC、WBTC、RBTC 等封装资产，抽干相关资金池，造成约77万美元损失。据披露，其中约33.6万美元已通过去中心化交易所换成现金，其余部分被安全机构和交易所标记，难以继续使用。

部分封装资产由中心化机构发行，可在司法程序后作废并重新铸造；另一些则不具备这一机制，受损用户的追偿仍存在不确定性。

编辑：周艺