TLDR
Symbiosis 比特币桥接中的一个漏洞于 9 月 11 日被利用，导致创建了约 461 亿个无抵押的 syBTC 代币
攻击者成功通过 Uniswap 清算了约 4.39 WBTC，获得了约 336,000 美元的实际利润
该协议成功追回了约 15 BTC，目前存放在由团队控制的多重签名钱包中
向攻击者提供了一项价值为被盗资金 20% 的白帽赏金，设定 9 月 13 日为接受截止日期
这是继 Liquid Network 和 Nomic 发生类似事件后，最近几周内发生的第三次比特币桥接无抵押攻击
跨链基础设施提供商 Symbiosis 披露，其比特币桥接基础设施于 2026 年 9 月 11 日遭受安全入侵。该漏洞利用允许未经授权的一方利用 BridgeV2 智能合约中的缺陷，导致创建了数十亿个非法的合成比特币代币。
网络安全监控平台 Blockaid 最初检测并公开了此次入侵。根据他们的分析，攻击者生成了约 461 亿个 syBTC——这一数量超过比特币整个流通供应量的 2,000 倍。这些伪造的代币被转移到一个新创建的钱包地址。
虽然铸造的假代币数量巨大，但攻击者面临严重的流动性限制。他们仅设法在以太坊网络上通过 Uniswap 交换了约 4.39 个包装比特币，最终提取了约 336,000 美元。剩余的铸造代币没有找到市场需求。
发现漏洞后，Symbiosis 确认了此次安全事件，并立即暂停了所有原生比特币路由功能。该协议维持了涵盖 EVM 兼容区块链、TRON 和 TON 网络的替代路线的运营。其 Octopools 服务继续正常运行，未受中断。
Symbiosis 追回 15 BTC 并提供赏金
据 Symbiosis 称，团队在遭到入侵后成功追回了约 15 BTC。按当前市场汇率计算，此次追回的价值约为 115 万美元。这些被收回的资产目前存放在由核心团队管理的多重签名钱包中。
开发团队与攻击者取得了联系，提出了一项相当于被盗资产 20% 的白帽赏金提案。该提案设定了 9 月 13 日的接受截止日期。在此截止日期之后，Symbiosis 宣布将把相同的 20% 激励措施转向任何提供有助于追回更多资金的可行情报的个人。
该平台表示，它正在直接与受影响的流动性提供者进行沟通。赔偿结构正在制定中，具体的资格标准预计将很快公布。通过第三方集成合作伙伴 Chainflip 和 THORChain，比特币交换功能已恢复，而专有桥接功能仍处于禁用状态。
数周内的第三次比特币桥接漏洞利用
此次入侵是令人担忧的趋势中的又一例。在最近几周内，Liquid Network 和 Nomic 都经历了类似的攻击，涉及无抵押的比特币衍生代币。
由 Blockstream 运营的 Liquid Network 目睹了一名对手生成了约 4,000 个无抵押的 LBTC 代币，并将其兑换为真正的比特币。攻击者随后归还了约 3,400 BTC，但 Blockstream 拒绝赔偿剩余的 598.5 BTC，这些比特币仍未追回。
Nomic 遇到了一个在类似条件下长期未被发现的不同安全弱点。这三起入侵事件采用了根本相同的方法——利用比特币包装平台生成据称由合法资产支持的过量代币。
截至 9 月 13 日，Symbiosis 尚未发布详细的技术分析，说明 BridgeV2 合约是如何被攻破的。没有公开声明证实攻击者是否回应了赏金提案。
自大约五年前成立以来，Symbiosis 已促成超过 100 亿美元的累计交易量。该协议目前维持着约 700 万美元的总锁定价值。