Взлом моста Symbiosis: выпущено 46 млрд фальшивых syBTC, ущерб $336 тыс.

Провайдер кросс-чейн инфраструктуры Symbiosis сообщил, что 11 сентября 2026 года его инфраструктура биткоин-моста подверглась нарушению безопасности. Эксплойт позволил неуполномоченной стороне использовать уязвимость в смарт-контракте BridgeV2, что привело к созданию миллиардов нелегитимных синтетических биткоин-токенов.

Платформа мониторинга кибербезопасности Blockaid первой обнаружила и обнародовала нарушение. Согласно их анализу, злоумышленник сгенерировал около 46,1 млрд syBTC — количество, превышающее всё циркулирующее предложение биткоина более чем в 2000 раз. Эти поддельные токены были переведены на вновь созданный адрес кошелька.

Хотя количество отчеканенных поддельных токенов было огромным, злоумышленник столкнулся со значительными ограничениями ликвидности. Ему удалось обменять лишь около 4,39 обёрнутых биткоинов через Uniswap в сети Ethereum, в итоге выведя примерно $336 000. Остальные отчеканенные токены не нашли рыночного спроса.

После обнаружения инцидента Symbiosis подтвердила нарушение безопасности и немедленно приостановила всю нативную маршрутизацию биткоина. Протокол продолжил работу по альтернативным маршрутам, охватывающим EVM-совместимые блокчейны, сети TRON и TON. Их сервис Octopools продолжил функционировать без перебоев.

Symbiosis вернула 15 BTC и предлагает вознаграждение

По данным Symbiosis, команда успешно вернула около 15 BTC после взлома. По текущим рыночным курсам это составляет примерно $1,15 млн. Возвращённые активы в настоящее время хранятся в мультиподписном кошельке, управляемом основной командой.

Команда разработчиков связалась со злоумышленником, предложив вознаграждение white-hat в размере 20% от незаконно присвоенных активов. Предложение включало крайний срок принятия до 13 сентября. После этой даты Symbiosis объявила, что перенаправит те же 20% любому лицу, предоставившему полезную информацию, способствующую дополнительному возврату средств.

Платформа указала, что напрямую взаимодействует с пострадавшими поставщиками ликвидности. Структура компенсации находится в разработке, конкретные параметры соответствия будут опубликованы в ближайшее время. Функция обмена биткоинов была восстановлена через сторонних партнёров по интеграции Chainflip и THORChain, тогда как собственный мост остаётся отключённым.

Третий взлом биткоин-моста за несколько недель

Этот взлом стал очередным случаем в тревожной тенденции. За последние недели и Liquid Network, и Nomic подверглись аналогичным атакам с выпуском необеспеченных биткоин-деривативных токенов.

В Liquid Network, управляемой Blockstream, злоумышленник сгенерировал около 4000 необеспеченных токенов LBTC и обменял их на настоящие биткоины. Впоследствии злоумышленник вернул около 3400 BTC, однако Blockstream отказалась компенсировать оставшиеся 598,5 BTC, которые остаются невозвращёнными.

Nomic столкнулась с иной уязвимостью безопасности, которая оставалась незамеченной в течение длительного периода при сопоставимых условиях. Все три взлома использовали принципиально одинаковую методологию — эксплуатацию платформ-обёрток биткоина для генерации избыточных токенов, якобы обеспеченных легитимными активами.

По состоянию на 13 сентября Symbiosis не опубликовала всесторонний технический анализ, детально описывающий, каким именно образом был скомпрометирован контракт BridgeV2. Никаких публичных заявлений о том, ответил ли злоумышленник на предложение о вознаграждении, не поступало.

С момента своего запуска около пяти лет назад Symbiosis обеспечила совокупный объём транзакций на сумму более $10 млрд. В настоящее время протокол удерживает около $7 млн общей заблокированной стоимости.