BounceBit trwale wyłącza swój blockchain Layer 1 po tym, jak luka w autoryzacji pozwoliła atakującemu przenieść tokeny BB o wartości około 3 mln USD z dziewięciu kont mainnetu bez zgody właścicieli.

Atakujący przeprowadził 14 nieautoryzowanych transakcji między 19 sierpnia o 21:02 UTC a 20 sierpnia o 01:54 UTC, przenosząc 286 543 148 BB, zanim sieć została zatrzymana. Produkcja bloków zakończyła się na wysokości 20 702 857 o 02:36:37 UTC 20 sierpnia.

Zgodnie z informacjami zespołu, nie doszło do ujawnienia żadnych kluczy prywatnych ani do sfałszowania podpisów. Portfele użytkowników, urządzenia sprzętowe i konta na giełdach nie zostały naruszone. Produkty BounceBit — CeDeFi Strategy, Promo Vaults, Prime oraz produkty oparte na realnych aktywach — działają niezależnie od dotkniętej infrastruktury Layer 1 i pozostały nietknięte.

BounceBit uruchomiło ten mainnet w 2024 roku jako sieć „CeDeFi” opartą na Bitcoinie, łączącą zyski z finansów scentralizowanych z produktami on-chain. Jego token BB zadebiutował w maju tego roku w ramach programu Launchpool Binance, a wśród wczesnych inwestorów znalazły się Binance Labs i Blockchain Capital.

Po zatrzymaniu produkcji bloków żadne transakcje nie mogą być rozliczane w sieci BounceBit Chain, co czyni ponowną emisję opartą na snapshocie jedyną drogą do zachowania sald posiadaczy.

Luka w autoryzacji odziedziczona po Evmos

Atak opierał się na luce w autoryzacji w natywnym module odziedziczonym po stosie technologicznym Evmos, z którego korzysta BounceBit Chain. Luka ta pozwalała wywołującemu kontrakt inteligentny wskazać inne konto jako źródło środków, bez właściwej weryfikacji przez moduł, czy konto to autoryzowało transakcję.

Tym samym incydent jest awarią autoryzacji na poziomie protokołu w BounceBit Chain, a nie naruszeniem portfela ani atakiem polegającym na kradzieży kluczy.

Zespół początkowo zmierzał w kierunku naprawy sieci — ogłoszenie z 20 sierpnia przedstawiało planowaną aktualizację łańcucha. Plan odtworzenia został później porzucony na rzecz trwałego wycofania Layer 1. Sam Evmos — sieć oparta na Cosmos SDK, stworzona do uruchamiania kontraktów inteligentnych zgodnych z Ethereum — zakończył działanie sieci w maju po zatwierdzeniu zamknięcia w drodze zarządzania przez społeczność, co znacznie utrudniło dalsze utrzymanie bazowego stosu technologicznego.

BounceBit wybiera inną ścieżkę odtworzenia niż sieci, które łatają i restartują się po ataku. THORChain na przykład zakończył etapowy restart sieci po majowym ataku na skarbnicę o wartości 10,7 mln USD.

BB zostanie ponownie wyemitowany ze snapshotu sprzed ataku

Token BB stanie się natomiast tokenem BEP-20 w sieci BNB Chain — standardzie tej sieci dla tokenów zamiennych, odpowiedniku ERC-20 z Ethereum. Nowe salda zostaną ustalone na podstawie snapshotu wykonanego na bloku 20 697 260 o 21:02:35 UTC 19 sierpnia, bezpośrednio przed pierwszą nieautoryzowaną transakcją.

286 543 148 BB należące do atakującego zostanie wyłączone z emisji zastępczej. Legalne salda zostaną automatycznie przywrócone na odpowiednie adresy w sieci BNB Chain, w tym BB znajdujące się w pozycjach stakingowych i w trakcie odblokowywania. Posiadacze nie muszą migrować portfeli, składać wniosków ani ręcznie odbierać tokenów zastępczych.

BounceBit koordynuje również z giełdami scentralizowanymi kwestie sald klientów i kontroli depozytów. Obecnie nie istnieje żadna oficjalna strona ani formularz roszczeń związanych z migracją, a posiadacze zostali ostrzeżeni przed linkami żądającymi weryfikacji portfela lub migracji tokenów.

Relokacja umieszcza BB bezpośrednio w sieci, która stała się już głównym miejscem znacznej części aktywności BounceBit. W tym roku BNB Chain doświadczyła również kilku niezwiązanych ze sobą incydentów bezpieczeństwa na poziomie tokenów, w tym niedawnego wyczerpania tokenów B², choć atak na BounceBit miał miejsce w jego własnym Layer 1 opartym na Evmos, a nie w sieci BNB Chain.

BB notowany w okolicach 0,01 USD po ataku

W sobotę BB notowany był w okolicach 0,0103 USD, z wolumenem 24-godzinnym wynoszącym około 89,7 mln USD i kapitalizacją rynkową bliską 12,8 mln USD, według danych CoinMarketCap. Wraz z rozwojem ataku i zakłóceniami w sieci token spadł 20 sierpnia do historycznego minimum 0,00804 USD. Obecne poziomy to ułamek tego, po czym notowany był BB w miesiącach po debiucie w połowie 2024 roku.

BounceBit ogłosi nowy adres kontraktu BEP-20 przez swoje oficjalne kanały po zakończeniu wdrożenia. Do pozostałych kamieni milowych należą automatyczne przywrócenie sald oraz sposób, w jaki giełdy scentralizowane będą obsługiwać depozyty ponownie wyemitowanego tokena w ramach skoordynowanych kontroli. Do tego czasu obecni posiadacze nie mają żadnej transakcji migracyjnej ani procesu roszczeń do wykonania.