עוד גשר ביטקוין נפרץ, והפעם הוטבעו מיליארדים

ניצול גשר ביטקוין הטביע מיליארדים של syBTC ללא גיבוי

השבוע, פלטפורמת אבטחת הסייבר onchain Blockaid גילתה בעיה בגשר ה-BTC של Symbiosis. “Community alert,” Blockaid כתבה בפלטפורמת המדיה החברתית X. “Signed BridgeV2 receive minted ~2^62 raw syBTC (8 decimals; face value ~46.1B) to a fresh EOA; same beneficiary dumped ~4.39 WBTC on Ethereum Uni V4. ~$336k realized WBTC proceeds so far.”

בפשטות, ההאקר הצליח להטעות את גשר הביטקוין של Symbiosis ולגרום לו ליצור כמות עצומה של BTC סינתטי ללא גיבוי. עם זאת, הישות הזדונית הצליחה למכור רק חלקיק ממנו תמורת כ-336,000 דולר בביטקוין עטוף אמיתי (WBTC); השאר היה היצע פיקטיבי שאיש לא היה קונה. Symbiosis גם אישרה את התקיפה ב-X.

Symbiosis משיבה 15 BTC ומציעה להאקר פרס של 20%

“Symbiosis experienced a security incident. At approximately 04:28 UTC on Sep 11, 2026, [an] attacker exploited a vulnerability in bitcoin bridge. BTC routes have been halted. Other routes remain operational and safe,” הצוות חשף. הצוות השיב כ-15 BTC, שכעת מאובטחים ב-multisig שבשליטת הצוות.”

Symbiosis הוסיפה:

“We have contacted the attacker with a white-hat bounty offer of 20% of the funds, open until Sep 13, 2026. After that window, the same 20% will be offered to anyone providing information that leads to recovery.”

Liquid, Nomic ו-Symbiosis נפגעו מאותו תרגיל בסיסי

מה שהופך את התקרית הזו לגרועה יותר הוא שהתרגיל הבסיסי הזה של היעדר גיבוי קרה שלוש פעמים במהלך השבועות האחרונים. אף שהם אינם בדיוק אותם תמרונים, רשת Liquid נרוקנה בכמעט 4,000 BTC באמצעות נכסים ללא גיבוי, ובאופן דומה, ל-Nomic הייתה פרצה שלא זוהתה במשך חודשים בנסיבות דומות.

שלוש התקריות ביצעו את אותו תרגיל בסיסי. למעשה, כולן שכנעו פרויקט עטיפת ביטקוין להדפיס מטבעות נוספים שהיו אמורים לייצג טוקנים אמיתיים. נכון לבוקר יום ראשון, 13 בספטמבר, ל-Symbiosis עדיין לא היה פוסט-מורטם טכני פומבי שמסביר בדיוק היכן BridgeV2 כשל, לא הייתה הערכת הפסד סופית בדולרים, ולא היה אישור פומבי לכך שהתוקף קיבל את הצעת ה-white-hat של 20%.