Symbiosis потерял около $770 тыс. после выпуска злоумышленником 46,1 млрд syBTC

Кроссчейн-протокол Symbiosis сообщил о взломе, в результате которого предварительные потери составили 9,97 BTC (примерно $770 тыс.). Атака стала возможной из-за двух уязвимостей в контракте BridgeV2, позволивших создать миллиарды необеспеченных синтетических активов. По данным команды, 11 сентября 2026 года злоумышленник начал с депозита 330 сатоши (около $0,25) и за 4 минуты провел 12 аномальных транзакций через BNB Chain, Ethereum и Rootstock. Итогом стала эмиссия 46,1 млрд syBTC — синтетического токена, который должен отражать реальные BTC-депозиты в протоколе по схеме 1:1. Номинальный объем превышал исторический лимит сети Bitcoin в 21 млн монет более чем в 2 000 раз. Аномальную активность в реальном времени зафиксировала компания Blockaid: она обратила внимание на выпуск активов, направленных на новый кошелек в BNB Chain. Согласно техническому разбору Symbiosis, первая ошибка заключалась в том, что система проверяла неверный фрагмент входящей биткоин-транзакции при определении отправителя. Из-за этого атакующий одновременно распознавался как авторизованный депонент и администратор моста, что дало возможность установить минимальную комиссию моста ниже нуля. Вторая ошибка приводила к тому, что отрицательная комиссия обрабатывалась как математическое сложение, а не вычитание. В результате контракт мог принимать произвольные значения депозита без эквивалентного обеспечения. Несмотря на теоретическую оценку выше $46 млрд, реальный ущерб ограничился доступной ликвидностью в пулах DEX. Часть средств злоумышленник перевел в сеть Ethereum и обменял 4,39 WBTC через Uniswap v4, получив около $336 тыс. До инцидента в обращении находилось лишь 13,91 syBTC, из которых 11,26 были размещены в общих пулах ликвидности вместе с WBTC, cbBTC, BTCB и RBTC. По данным DeFiLlama на вторник, 15 сентября, реализованные потери оцениваются примерно в $336 тыс., в то время как предварительные расчеты Symbiosis указывают на прямой ущерб 9,97 BTC (около $770 тыс.), распределенный между пользователями и поставщиками ликвидности. После подтверждения эксплойта протокол остановил прямые маршруты через нативный биткоин-мост. При этом свопы через TRON, TON и сеть Ethereum продолжили работать, проводя внешние транзакции через интеграции с THORChain и Chainflip. В обновлении во вторник техническая команда Symbiosis заявила, что удалось вернуть и зафиксировать 15 BTC в мультиподписном кошельке под контролем команды. Компания пообещала подготовить план компенсаций для пострадавших поставщиков ликвидности и уточнила, что нативный мост останется неактивным до завершения полного переписывания ПО и проверки независимым внешним аудитом.