Symbiosis 遭攻擊損失約77萬美元　黑客僅用330 satoshi鑄造461億枚 syBTC

【要點】Symbiosis 指出，黑客於2026年9月11日僅存入330 satoshi（約0.25美元），便鑄造約461億枚合成代幣 syBTC。協議初步確認損失為9.97 BTC（約77萬美元）；當中黑客已在 Uniswap 變現4.39 WBTC，套現約33.6萬美元。團隊其後將15 BTC 轉入多簽錢包保管，並繼續暫停原生比特幣橋，待完成外部審計。 跨鏈協議 Symbiosis 上周五遭遇網絡攻擊。官方事後報告稱，事件由 BridgeV2 合約內兩個漏洞疊加引發，令攻擊者得以無抵押鑄造巨量合成資產。 鏈上紀錄顯示，攻擊者在4分鐘內於 BNB Chain、Ethereum 及 Rootstock 發起12筆異常交易，最終生成461億枚 syBTC。syBTC 原設計為在協議內按1:1追蹤真實比特幣存款；此次鑄造的名義規模較比特幣歷來2100萬枚上限高出逾2,000倍。網絡安全公司 Blockaid 表示，其即時偵測到異常交易，並就資產被導向 BNB Chain 新開錢包發出警報。 【漏洞成因】Symbiosis 技術資料指出，第一個漏洞源於系統在比特幣鏈上解析入站交易時，檢查了錯誤的資料段以識別發送者，導致合約同時把攻擊者判定為「已授權存款人」及「橋管理員」。在該權限下，攻擊者可把橋的最低手續費設定為零以下。第二個漏洞則把「負手續費」以加法而非減法處理，使合約在不需要等值抵押的情況下接受任意存款數值。 【實際損失受流動性限制】雖然理論名義價值一度超過460億美元，但實際財務衝擊受去中心化交易所資金池流動性所限。黑客把部分資金跨至以太坊，並透過 Uniswap v4 兌換4.39 WBTC，取得約33.6萬美元。 事件發生前，syBTC 流通量僅13.91枚，其中11.26枚與 WBTC、cbBTC、BTCB 及 RBTC 一同配置於共享流動性池。DeFiLlama 截至2026年9月15日的數據顯示，已實現損失約33.6萬美元；Symbiosis 的初步估算則為9.97 BTC（約77萬美元），損失分布於用戶及流動性提供者。 【應對措施】協議確認被攻擊後，已即時暫停原生比特幣橋的直連路由；TRON、TON 及以太坊網絡上的兌換功能則維持運作，並透過 THORChain 與 Chainflip 的整合處理外部路由。Symbiosis 於周二更新時表示，已回收並在團隊控制的多簽錢包內保管15 BTC，同時公布針對受影響流動性提供者的補償安排。公司稱，在完成軟件全面重寫並通過獨立外部審計前，原生橋將維持停用。