BounceBit wyłącza łańcuch po transferze 286,5 mln BB

BounceBit wyłączył swój blockchain warstwy 1 po ataku, w którym 19 i 20 sierpnia napastnik przeniósł 286,5 mln tokenów BB z dziewięciu kont głównej sieci. Zespół poinformował, że nieautoryzowane transfery wynikły z luki w uprawnieniach na poziomie protokołu.

Atak objął 14 transakcji wykonanych w ciągu 4 godzin i 52 minut przy użyciu dwóch kont i 15 jednorazowych kontraktów. Produkcja bloków zatrzymała się na wysokości 20 702 857 około 42 minuty po ostatnim transferze. Zespół ustalił salda na podstawie snapshotu z bloku 20 697 260 i zaznaczył, że BB przesłane podczas ataku nie zostaną przeniesione na nowy token.

Według zespołu BounceBit Chain był forkiem Evmos, który pozwala smart kontraktom wywoływać natywne moduły protokołu. W jednym z wywołań kontraktowych mechanizm sprawdzający autoryzację został ominięty, a weryfikacja odnosiła się do niewłaściwego konta. W efekcie napastnik mógł wskazywać dowolne konto jako źródło środków bez zgody właściciela. Zespół podkreślił, że nie doszło do wycieku kluczy prywatnych ani dostępu do portfeli czy urządzeń sprzętowych.

W związku z błędem zespół zdecydował o trwałym wyłączeniu łańcucha i ponownym wydaniu tokena jako aktywa BEP-20 na BNB Chain. Przeniesienie forka na nowszą wersję kodu wymagałoby pełnej przebudowy, ponownego audytu i weryfikacji zamiast zwykłej aktualizacji, co wydłużyłoby proces i zwiększyłoby ryzyko. Nowe tokeny zostaną automatycznie przypisane do odpowiadających adresów na BNB Chain; nie będzie strony do składania roszczeń. W oświadczeniu zespół napisał: „Wiemy, że to duże zamieszanie, ale nic nie wygasa i nic nie jest przyspieszane.”

Zasady rozliczeń po snapshotcie przewidują cofnięcie transferów dokonanych w okresie 5 godzin i 34 minut. Osoby, które kupiły tokeny w tym czasie, stracą nabyte środki, a sprzedający odzyskają wysłane BB. Salda stakowane i w trakcie unbondingu zostały uwzględnione w snapshotcie. Zespół dodał, że produkty BounceBit CeDeFi Strategy, Promo Vaults, Prime oraz RWA nie zostały dotknięte problemem.

Skradziona ilość to około 13,6% z maksymalnej podaży 2,1 mld BB. Przy cenie rynkowej około 0,0111 USD strata odpowiadała niemal 3,2 mln USD. W ciągu 24 godzin po incydencie cena BB wzrosła o około 16%, jednak token osiągnął rekordowe minimum 0,0079 USD 20 sierpnia, co stanowiło spadek o około 31% względem poziomu sprzed ataku.

Incydent w BounceBit nastąpił po podobnym problemie zgłoszonym wcześniej w projekcie MANTRA, który doprowadził do zamrożenia jego sieci z powodu luki w zależności bazowej. W przypadku BounceBit zespół ponownie zaznaczył, że atak wynikał z błędu mechanizmu uprawnień, a nie z naruszenia kluczy użytkowników.