Symbiosis enregistre une perte de 770 000 $ après le mint de 46,1 milliards de syBTC par un attaquant

Un attaquant a exploité le protocole cross-chain Symbiosis en créant environ 46,1 milliards de jetons synthétiques syBTC à partir d’un dépôt initial de 330 satoshis (environ 0,25 $) le 11 septembre 2026. Symbiosis évalue à ce stade les pertes préliminaires à 9,97 BTC (environ 770 000 $). D’après les informations disponibles, l’attaquant a liquidé 4,39 WBTC sur Uniswap pour un montant proche de 336 000 $. Symbiosis a indiqué que l’incident, survenu vendredi dernier, résulte de deux vulnérabilités permettant l’émission d’actifs synthétiques non collatéralisés. En quatre minutes, l’assaillant a enchaîné 12 transactions irrégulières via BNB Chain, Ethereum et Rootstock, jusqu’à faire émettre 46,1 milliards de syBTC, un jeton censé répliquer des dépôts de Bitcoin à parité 1:1 au sein du protocole. Le volume notionnel dépasse de plus de 2 000 fois la limite historique de 21 millions de BTC du réseau Bitcoin. La société de cybersécurité Blockaid a repéré les transactions anormales en temps réel et a alerté sur la création d’actifs acheminés vers un nouveau portefeuille sur BNB Chain. Selon les données techniques de Symbiosis, l’origine se trouve dans le code du contrat BridgeV2. Le protocole examinait une mauvaise section de la transaction entrante sur le réseau Bitcoin pour identifier l’expéditeur. Le postmortem de Symbiosis indique que cette erreur a conduit le système à interpréter l’attaquant à la fois comme déposant autorisé et comme administrateur du bridge, lui permettant d’abaisser les frais minimum sous zéro. Un second bug traitait ensuite ces frais négatifs comme une addition au lieu d’une soustraction, ce qui aurait amené le contrat à accepter des valeurs de dépôt arbitraires sans exiger de collatéral équivalent. Malgré une valeur notionnelle théorique supérieure à 46 milliards de dollars, l’impact financier a été limité par la liquidité disponible sur les pools de DEX. Une partie des fonds a été acheminée vers Ethereum, puis 4,39 WBTC ont été échangés via Uniswap v4, pour un produit estimé à environ 336 000 $. Avant l’attaque, l’offre en circulation de syBTC n’était que de 13,91 unités, dont 11,26 étaient positionnées dans des pools de liquidité partagés avec WBTC, cbBTC, BTCB et RBTC. Mardi 15 septembre, DeFiLlama estimait les pertes effectivement réalisées à environ 336 000 $, tandis que Symbiosis maintenait une première estimation de dommages directs à 9,97 BTC (environ 770 000 $), répartis entre utilisateurs et fournisseurs de liquidité. Après confirmation de l’exploit, Symbiosis a suspendu les routes directes de son bridge Bitcoin natif. Les fonctions de swap via TRON, TON et Ethereum sont restées opérationnelles, les transactions externes étant routées via des intégrations avec THORChain et Chainflip. Lors d’une mise à jour mardi, l’équipe technique a indiqué que 15 BTC avaient été récupérés et sécurisés dans un portefeuille multisig contrôlé par l’équipe. Le protocole a précisé travailler à un plan d’indemnisation pour les fournisseurs de liquidité affectés et a annoncé que le bridge natif resterait inactif jusqu’à la finalisation d’une réécriture complète du logiciel, puis sa validation via un audit externe indépendant.