Symbiosis приостановила работу биткойн-моста после того, как злоумышленник отчеканил миллиарды поддельных syBTC

Компания Symbiosis отключила свой биткоин-мост в ранние часы 11 сентября после того, как кто-то выяснил, как заставить протокол поверить, что он получил биткоины, которые на самом деле никогда не отправлялись. Сумма ущерба от кражи зависит от того, чьим данным вы доверяете. Аккаунт osint_based в социальной сети X оценил ущерб в 750 000 долларов. Blockaid — компания по обеспечению безопасности, которая обнаружила атаку в момент её совершения, — и сервисы отслеживания инцидентов, которые впоследствии собрали данные об атаке, оценили ущерб примерно в 336 000 долларов. Ни одна из этих цифр не является огромной по меркам 2026 года, но разница между ними напоминает о том, что в первые часы после взлома моста редко удаётся получить однозначный ответ.

Что на самом деле сломалось

BridgeV2 — это контракт, позволяющий перемещать нативный биткойн в Symbiosis в виде syBTC, синтетического токена, предназначенного для отслеживания BTC в соотношении один к одному на других цепочках. Он опирается на внецепочечную сеть ретрансляторов, которая подписывает межцепочечные сообщения с помощью пороговых ключей MPC, и должен проверять, что любое сообщение «Биткойн получен» соответствует биткоину, который кто-то действительно отправил. Около 04:28 UTC этого не произошло. Прошла подписанная операция получения BridgeV2, содержащая некорректно сформированную инструкцию, и контракт отчеканил примерно 2^62 исходных единиц syBTC на только что созданный кошелек в сети BNB Smart Chain. Если посчитать с десятичной запятой, то на бумаге это составляет где-то около 46 миллиардов токенов. Другой монитор, DefraudTG, оценил общее количество выпущенных токенов в сетях BNB Chain и Ethereum в 368,9 миллиарда syBTC после отслеживания восьми отдельных транзакций через мост; это расхождение, вероятно, связано с различиями в подсчёте «сырых» единиц и фактических переводов, применяемых каждым сервисом.

Каким бы ни был истинный объём эмиссии, злоумышленник не пытался сбыть всё сразу. Он переместил часть токенов на Ethereum и продал около 4,39 WBTC через Uniswap V4 — именно отсюда и взята цифра в 336 000 долларов. Остальная часть, по оценкам, 184,5 млрд syBTC, по-прежнему находится в кошельке злоумышленника на BNB Chain. Именно за этой частью стоит следить. Такой огромный объем токенов не имеет реального обеспечения, и если он начнет перемещаться через пулы ликвидности вместо централизованных бирж, ущерб не ограничится тем, что уже покинуло протокол.

Реакция Symbiosis

Symbiosis подтвердила инцидент на своём аккаунте в X в течение часа, сообщив, что свопы, связанные с BTC, были отключены, в то время как маршруты с ETH и стейблкоинами остались активными, а ликвидность в этих пулах была проверена и признана безопасной. Команда классифицировала событие внутри компании, а в архиве инцидентов Delta Incident Archive оно было зарегистрировано под номером DCI-2026-304; DeFiLlama отнесла его к категории «необеспеченное межсетевое чеканка токенов» — той же, что и катастрофа с Liquid Network в прошлом месяце.

Дальнейшее развитие событий оказалось более обнадеживающим, чем предполагали первоначальные цифры. По данным Symbiosis, с тех пор удалось вернуть примерно 15 BTC, хотя команда пока не опубликовала окончательную цифру убытков и по-прежнему напрямую согласовывает условия компенсации с пострадавшими поставщиками ликвидности. Протокол также сделал предложение «белой шапки»: 20% возвращенных средств будут выплачены злоумышленнику, если он вернет остальную часть до крайнего срока 13 сентября, при этом такое же вознаграждение предлагается любому, кто поможет отследить деньги впоследствии. Воспользуется ли кто-нибудь этим предложением — никто не знает. Подобные программы по поиску уязвимостей работают достаточно часто, чтобы команды продолжали их предлагать, и заканчиваются неудачей достаточно часто, чтобы никто не должен был предполагать, что эта сработает.

Проблема с мостом никуда не исчезнет

Symbiosis провела независимый аудит своего собственного моста BTC, выполненный компанией Decurity — это тот вид информации, о котором обычно вспоминают после того, как что-то пошло не так, и которая сама по себе редко имеет большое значение. В ходе аудита проверяется то, что аудиторы считают нужным проверить. Баги аутентификации сообщений, подобные этому, когда контракт доверяет подписанной инструкции, не проверив должным образом её фактическое содержание, как раз и относятся к той категории, которая ускользает от внимания.

Стоит учесть контекст: это менее масштабное событие, чем большинство тех, что в последнее время попадали в заголовки новостей. Только в первом полугодии 2026 года TRM Labs насчитала 207 криптовалютных взломов — это самый высокий показатель за шесть месяцев за всю историю наблюдений компании, хотя общий объем убытков на самом деле резко снизился: с 2,3 млрд долларов в первом полугодии 2025 года до 972 млн долларов в первом полугодии 2026 года. Цифра в 336 000 долларов близка к среднему убытку за этот период, составляющему примерно 219 000 долларов на один инцидент; если цифра в 750 000 долларов подтвердится, она выведет Symbiosis значительно выше этого показателя. Кроме того, эта информация появилась всего через несколько дней после атаки на Liquid Network, в ходе которой злоумышленники отчеканили необеспеченные L-BTC и похитили около 320 млн долларов — почти 4 000 из 4 200 BTC сети, — прежде чем самопровозглашенные «белые хаты» вернули около 85% этих средств. Тот же сценарий, но в совершенно иных масштабах. По данным DeFiLlama, совокупные потери по мостам в отрасли в настоящее время превышают 3,68 млрд долларов, а в сегменте кросс-чейн-мостов Bitcoin осталось чуть более миллиона долларов в общей заблокированной стоимости, в том числе и собственный BTC-мост Symbiosis, который сейчас находится на нулевом уровне, пока разрабатывается исправление.