Jak napastnik wyemitował 1 000 nieautoryzowanych eBTC na Echo Protocol?

Skoncentrowana na Bitcoinie platforma DeFi Echo Protocol padła ofiarą exploitu, po którym atakujący wybito około 1 000 nieautoryzowanych tokenów eBTC na wdrożeniu protokołu na Monad.

Zgodnie z ustaleniami firmy bezpieczeństwa blockchain PeckShield i platformy analityki on-chain Lookonchain, atakujący utworzył około 76,7 mln USD (ok. 286,9 mln zł) wartych syntetycznych tokenów Bitcoina, po czym próbował wyciągnąć wartość poprzez zdecentralizowane rynki pożyczkowe.

Echo Protocol później potwierdził, że bada „incydent bezpieczeństwa wpływający na bridge Echo na Monad”, jednocześnie informując, że wszystkie transakcje cross-chain zostały zawieszone na czas dochodzenia.

Współzałożyciel Monad, Keone Hon, wyjaśnił na X, że sama sieć Monad działała normalnie i nie została naruszona.

Badacze bezpieczeństwa i deweloperzy blockchain później zawęzili przyczynę incydentu do — jak opisał to deweloper „Marioo” — błędu operacyjnego związanego z przejętymi poświadczeniami administratora, a nie do błędu w samym kodzie smart kontraktu. 

Według dewelopera kontrakt eBTC działał zgodnie z założeniami, lecz słabe mechanizmy kontroli dostępu pozwoliły atakującemu przejąć uprawnienia administracyjne.

Jak rozegrał się exploit

Analitycy on-chain wskazali, że atakujący najpierw przyznał sobie rolę DEFAULT_ADMIN_ROLE w kontrakcie eBTC Echo, a następnie nadał swojemu portfelowi rolę MINTER_ROLE, co umożliwiło tworzenie nowych tokenów bez pokrycia. 

Po uzyskaniu przywilejów mintowania, atakujący rzekomo usunął własne uprawnienia administratora, aby nie pozostawać widoczną rolą administracyjną on-chain.

Dysponując tymi uprawnieniami, exploitujący wybito 1 000 tokenów eBTC o wartości około 77 mln USD (ok. 288,1 mln zł) na papierze. 

Ograniczona płynność w ekosystemie Monad uniemożliwiła jednak atakującemu bezpośrednią konwersję większości aktywów na giełdach zdecentralizowanych.

Zamiast tego dane udostępnione przez Onchain Lens i Lookonchain pokazały, że atakujący zdeponował 45 eBTC, wycenionych na około 3,5 mln USD (ok. 12,9 mln zł), jako zabezpieczenie w protokole pożyczkowym DeFi Curvance. 

Na podstawie tych depozytów atakujący pożyczył około 11,29 wrapped Bitcoina (WBTC) o wartości około 867 700 USD.

Po przeniesieniu pożyczonych WBTC na Ethereum, exploitujący zamienił aktywa na ETH i przetransferował około 384–385 ETH do miksera Tornado Cash, według kilku kont śledzących on-chain.

Dane Lookonchain i DeBank wskazywały, że atakujący nadal kontroluje 955 eBTC o wartości około 73 mln USD (ok. 273,1 mln zł), choć założyciel DefiPrime, Nick Sawinyh, napisał w poście, że pozostałe tokeny były w praktyce nieużyteczne, ponieważ głębokość płynności DeFi na Monadowi nie mogła wchłonąć fałszywej podaży.

Marioo wskazał również na kilka słabych punktów bezpieczeństwa, które wzmocniły skutki ataku, w tym użycie jednoprzyciskowej (single-signature) roli administratora, brak mechanizmu timelock, brak limitu mintowania lub regulatora tempa oraz brak kontroli sensowności zabezpieczenia (collateral sanity checks) na Curvance dla nowo wybitych eBTC.

Protokoły podejmują kroki, by ograniczyć szkody

W miarę rozwoju exploitu Curvance poinformował, że wykrył „anomalnię” na rynku Echo eBTC i wstrzymał dotknięty rynek pożyczkowy na czas dalszych dochodzeń. 

Protokół oświadczył, że nie ma przesłanek, by sądzić, iż jego własne smart kontrakty zostały złamane, dodając, że izolowana architektura rynków zapobiegła rozlewowi na inne pule pożyczkowe.

Według Hona, badacze bezpieczeństwa oszacowali zrealizowane straty na około 816 000 USD, co jest znacząco niższą wartością niż „na papierze” wycena nieautoryzowanego mintu, ponieważ większość fałszywej podaży eBTC nie mogła zostać zlikwidowana.

Echo Protocol, który koncentruje się na agregacji płynności Bitcoina, liquid stakingu, restakingu i generowaniu zysków na wielu łańcuchach, nie ujawnił jeszcze, w jaki sposób poświadczenia administratora zostały przejęte. 

Protokół poinformował, że dalsze aktualizacje będą przekazywane przez oficjalne kanały w miarę postępów dochodzenia.

Incydent dołączył do rosnącej listy eksploitów DeFi odnotowanych od początku roku.

Jak wcześniej pisał Invezz, infrastruktura bridge KelpDAO została przejęta w zaawansowanym ataku polegającym na „RPC poisoning” oraz rozproszonym ataku odmowy usługi (DDoS), co doprowadziło do masywnego exploitu o wartości 292 mln USD (ok. 1,1 mld zł).