Symbiosis、攻撃者がsyBTC 461億枚を不正発行　被害は約77万ドルに

クロスチェーン・プロトコルのSymbiosisは、合成資産の不正発行を可能にする脆弱性を突かれ、暫定で9.97 BTC（約77万ドル）の損失が確認された。攻撃者は2026年9月11日、わずか330サトシ（当時約0.25ドル）の入金を起点に、BNB Chain、Ethereum、Rootstockをまたぐ不審な取引を4分間で12回実行。結果として、ビットコイン預入と1:1で連動する設計の合成トークン「syBTC」を計461億枚発行した。名目上の発行量はビットコインの上限2,100万枚を2,000倍以上上回る規模となった。 異常な動きはセキュリティ企業Blockaidがリアルタイムで検知し、BNB Chain上で新規作成されたウォレットに向けて資産が生成されているとして警告を発した。 Symbiosisの技術報告によると、原因はBridgeV2コントラクトに存在する2つの不具合の組み合わせだ。1つ目は、ビットコイン側の入金トランザクションで送信者判定に誤った箇所を参照し、攻撃者を「正当な入金者」と同時に「ブリッジ管理者」として扱ってしまった点。これにより、ブリッジの最低手数料を0未満に設定できる権限が生じた。2つ目は、その負の手数料を減算ではなく加算として処理してしまう実装で、調査データでは、この算術処理によって担保に見合わない任意の入金額が受け入れられた可能性が示されている。 理論上の名目価値は460億ドル超に達する一方、実際の損失はDEXプールの流動性に制約され限定的だった。攻撃者は資金の一部をEthereumへ移し、Uniswap v4で4.39 WBTCをスワップして約33.6万ドルを確保した。 事件前のsyBTC流通量は13.91枚にとどまり、このうち11.26枚はWBTC、cbBTC、BTCB、RBTCと組成された共通流動性プールに配分されていた。DeFiLlamaは9月15日（火）時点の実現損失を約33.6万ドルとし、Symbiosis側の暫定推計ではユーザーと流動性提供者にまたがる直接損害は9.97 BTC（約77万ドル）としている。 Symbiosisは不正利用を確認後、ネイティブのビットコインブリッジにおけるダイレクト経路を即時停止。一方でTRON、TON、Ethereumにまたがるスワップ機能は稼働を継続しており、THORChainおよびChainflipとの統合を通じて外部ルートで取引を処理している。 9月15日の更新で同社技術チームは、15 BTCを回収し、チーム管理のマルチシグ・ウォレットで保全したと説明。影響を受けた流動性提供者向けの補償方針を示すとともに、ソフトウェアの全面書き直しを完了し、第三者による外部監査で検証が済むまでネイティブブリッジを再開しない方針を明らかにした。