Symbiosis Rugi US$770 Ribu Usai Penyerang Mencetak 46,1 Miliar syBTC

Ringkasan: Penyerang mencetak sekitar 46,1 miliar token sintetis syBTC hanya dari deposit awal 330 satoshi (sekitar US$0,25) pada 11 September 2026. Protokol mengonfirmasi kerugian awal sebesar 9,97 BTC (sekitar US$770.000). Dari jumlah itu, pelaku sempat melikuidasi 4,39 WBTC senilai kira-kira US$336.000 di Uniswap. Tim Symbiosis mengamankan 15 BTC di dompet multisig dan mempertahankan jeda (pause) pada native Bitcoin bridge sambil mengajukan kode untuk audit eksternal. Protokol lintas-chain Symbiosis menjadi korban serangan siber pada Jumat lalu, dipicu dua kerentanan yang memungkinkan pencetakan aset sintetis tanpa jaminan dalam skala miliaran. Symbiosis menyebut pelaku melakukan 12 transaksi tidak wajar di BNB Chain, Ethereum, dan Rootstock dalam rentang 4 menit, berawal dari deposit 330 satoshi. Aksi tersebut berujung pada penerbitan 46,1 miliar syBTC, token sintetis yang dirancang melacak deposit Bitcoin riil dengan rasio 1:1 di dalam protokol. Secara nominal, angka itu melampaui batas pasokan historis Bitcoin 21 juta koin lebih dari 2.000 kali. Perusahaan keamanan siber Blockaid mendeteksi transaksi anomali tersebut secara real time dan mengeluarkan peringatan terkait pembuatan aset yang mengalir ke dompet baru di BNB Chain. Kronologi teknis eksploit BridgeV2 Menurut data teknis Symbiosis, masalah berakar pada kombinasi dua bug di kontrak BridgeV2. Pertama, sistem memeriksa bagian yang keliru dari transaksi masuk di jaringan Bitcoin untuk mengidentifikasi pengirim. Laporan pascakejadian Symbiosis menyatakan celah ini membuat pelaku sekaligus terbaca sebagai deposan berizin dan administrator bridge. Dengan hak itu, pelaku dapat mengatur biaya minimum bridge menjadi di bawah nol. Bug kedua memproses biaya negatif tersebut sebagai penjumlahan matematis, bukan pengurangan. Data investigasi mengindikasikan perilaku aritmetika ini membuat kontrak menerima nilai deposit sewenang-wenang tanpa membutuhkan jaminan yang setara. Meski nilai nominal teoretisnya melampaui US$46 miliar, dampak finansial riil terbatas oleh likuiditas yang tersedia di pool bursa terdesentralisasi. Pelaku mengalirkan sebagian dana ke jaringan Ethereum dan menukar 4,39 WBTC melalui Uniswap v4, mengantongi sekitar US$336.000. Sebelum insiden, pasokan beredar syBTC hanya 13,91 unit, dengan 11,26 unit dialokasikan ke pool likuiditas bersama WBTC, cbBTC, BTCB, dan RBTC. Pada Selasa, 15 September, DeFiLlama memperkirakan kerugian yang terealisasi sekitar US$336.000. Sementara itu, estimasi awal Symbiosis menempatkan kerusakan langsung sebesar 9,97 BTC (sekitar US$770.000) yang tersebar pada pengguna dan penyedia likuiditas. Setelah eksploit terkonfirmasi, protokol segera menghentikan rute langsung pada native Bitcoin bridge. Fitur swap melalui TRON, TON, dan jaringan Ethereum tetap berjalan, dengan transaksi eksternal dirutekan lewat integrasi THORChain dan Chainflip. Dalam pembaruan hari Selasa, tim teknis Symbiosis melaporkan 15 BTC telah dipulihkan dan diamankan di dompet multisig yang dikendalikan tim. Perusahaan juga memaparkan rencana kompensasi bagi penyedia likuiditas terdampak dan menegaskan native bridge akan tetap nonaktif sampai penulisan ulang perangkat lunak tuntas dan diverifikasi melalui audit independen eksternal.