Symbiosis wstrzymuje działanie mostu Bitcoin po tym, jak osoba atakująca wyemitowała miliardy fałszywych syBTC

Wczesnym rankiem 11 września firma Symbiosis wyłączyła swój most Bitcoinowy po tym, jak komuś udało się sprawić, by protokół uznał, że otrzymał bitcoiny, które w rzeczywistości nigdy nie zostały wysłane. Kwota w dolarach związana z tą kradzieżą zależy od tego, którym danym ufasz. Konto OSINT na platformie X, osint_based, oszacowało stratę na 750 000 dolarów. Blockaid, firma zajmująca się bezpieczeństwem, która wykryła atak w trakcie jego trwania, oraz serwisy śledzące incydenty, które później zebrały dane na ten temat, oszacowały stratę na około 336 000 dolarów. Żadna z tych kwot nie jest ogromna jak na standardy roku 2026, ale różnica między nimi przypomina, że w pierwszych godzinach po wykorzystaniu luki w mostku rzadko udaje się uzyskać jednoznaczną odpowiedź.

Co faktycznie uległo uszkodzeniu

BridgeV2 to kontrakt, który umożliwia przenoszenie natywnego Bitcoina do Symbiosis w postaci syBTC – tokenu syntetycznego przeznaczonego do śledzenia BTC w stosunku 1:1 w innych łańcuchach. Opiera się on na sieci relatorów poza łańcuchem, która podpisuje komunikaty międzyłańcuchowe za pomocą kluczy progowych MPC i ma sprawdzać, czy każda wiadomość „Bitcoin odebrany” odpowiada Bitcoinowi, który ktoś faktycznie wysłał. Około godziny 04:28 UTC tak się nie stało. Przeprowadzono podpisaną operację odbioru w BridgeV2 zawierającą nieprawidłową instrukcję, a kontrakt wyemitował około 2^62 surowych jednostek syBTC do nowo utworzonego portfela w sieci BNB Smart Chain. Po przeliczeniu na ułamki dziesiętne daje to teoretycznie około 46 miliardów tokenów. Inny monitor, DefraudTG, oszacował łączną liczbę wyemitowanych tokenów w sieciach BNB Chain i Ethereum na 368,9 miliarda syBTC po prześledzeniu ośmiu oddzielnych transakcji mostkowych; rozbieżność ta wynika prawdopodobnie z różnic w sposobie liczenia jednostek surowych a transferów przez poszczególne serwisy.

Niezależnie od rzeczywistej wielkości wyemitowanych tokenów, atakujący nie próbował pozbyć się ich wszystkich. Przeniósł część z nich na Ethereum i sprzedał około 4,39 WBTC za pośrednictwem Uniswap V4 – stąd pochodzi kwota 336 000 dolarów. Reszta, szacowana na 184,5 mld syBTC, nadal znajduje się w portfelu atakującego w sieci BNB Chain. To właśnie ta część zasługuje na szczególną uwagę. Tak duża podaż tokenów nie ma rzeczywistego zabezpieczenia, a jeśli zacznie krążyć w pulach płynności zamiast na scentralizowanych giełdach, szkody nie ograniczą się do kwoty, która już opuściła protokół.

Reakcja Symbiosis

Symbiosis potwierdziło incydent na swoim koncie X w ciągu godziny, informując, że swapy związane z BTC zostały wyłączone, podczas gdy trasy dla ETH i stablecoinów pozostały aktywne, a płynność w tych pulach została sprawdzona i jest bezpieczna. Zespół sklasyfikował zdarzenie wewnętrznie, a archiwum Delta Incident Archive zarejestrowało je jako DCI-2026-304, przy czym serwis DeFiLlama oznaczył je jako „niepokryte emisje międzyłańcuchowe” – tę samą kategorię zastosowano w przypadku katastrofy w sieci Liquid Network w zeszłym miesiącu.

Dalszy rozwój sytuacji okazał się bardziej optymistyczny, niż sugerowały to początkowe dane. Symbiosis informuje, że od tego czasu odzyskano około 15 BTC, choć zespół nie opublikował jeszcze ostatecznej kwoty strat i nadal pracuje nad ustaleniami dotyczącymi rekompensat bezpośrednio z poszkodowanymi dostawcami płynności. Protokół przedstawił również ofertę typu „white hat”: 20% odzyskanych środków dla atakującego, jeśli zwróci on resztę przed terminem 13 września, przy czym taka sama nagroda czeka na każdego, kto pomoże w późniejszym namierzeniu pieniędzy. Czy oferta ta zostanie przyjęta, pozostaje kwestią otwartą. Tego typu programy nagród za wykrycie błędów działają na tyle często, że zespoły wciąż je oferują, ale kończą się niepowodzeniem na tyle często, że nikt nie powinien zakładać, że ta oferta zostanie zrealizowana.

Problem z mostem nie zniknie

Firma Symbiosis zleciła firmie Decurity audyt swojego natywnego mostka BTC – jest to rodzaj informacji, która zwykle pojawia się po wystąpieniu problemów i rzadko ma większe znaczenie sama w sobie. Audyty sprawdzają to, co audytorzy uważają za warte sprawdzenia. Błędy uwierzytelniania wiadomości, takie jak ten, w którym kontrakt ufa podpisanej instrukcji bez odpowiedniej weryfikacji jej rzeczywistej treści, należą właśnie do kategorii, która umyka uwadze.

Warto przedstawić nieco szerszy kontekst: jest to mniejsze zdarzenie niż większość tych, które ostatnio trafiły na pierwsze strony gazet. Firma TRM Labs odnotowała 207 ataków hakerskich na kryptowaluty tylko w pierwszej połowie 2026 r. – jest to najwyższa liczba w ciągu sześciu miesięcy, jaką firma kiedykolwiek odnotowała, choć łączne straty faktycznie gwałtownie spadły, z 2,3 mld dolarów w pierwszej połowie 2025 r. do 972 mln dolarów w pierwszej połowie 2026 r. Kwota 336 000 dolarów jest zbliżona do średniej straty w tym okresie, wynoszącej około 219 000 dolarów na incydent; kwota 750 000 dolarów, jeśli się potwierdzi, spowodowałaby, że strata w przypadku Symbiosis znacznie przekroczyłaby tę średnią. Informacja ta pojawiła się zaledwie kilka dni po ataku na Liquid Network, w ramach którego napastnicy wyemitowali niepokryte L-BTC i wyprowadzili około 320 mln dolarów – prawie 4 000 z 4 200 BTC należących do sieci – zanim samozwańczy „white hats” zwrócili około 85% tej kwoty. Ten sam scenariusz, ale w zupełnie innej skali. DeFiLlama szacuje obecnie skumulowane straty związane z mostami w całej branży na ponad 3,68 mld dolarów, a w segmencie mostów międzyłańcuchowych samego Bitcoina pozostała łączna wartość zablokowana wynosząca zaledwie nieco ponad milion dolarów – w tym most BTC firmy Symbiosis, którego wartość wynosi obecnie zero, podczas gdy trwają prace nad usunięciem luki.