Một cầu nối Bitcoin khác lại bị sập, và lần này đã tạo ra hàng tỷ đồng

Lỗ hổng trên Bitcoin Bridge tạo ra hàng tỷ syBTC không được đảm bảo

Tuần này, nền tảng an ninh mạng trên chuỗi Blockaid đã phát hiện ra một vấn đề với BTC Bridge của Symbiosis. “Cảnh báo cộng đồng,” Blockaid viết trên nền tảng mạng xã hội X. “Cầu BTC BridgeV2 đã nhận khoảng 2^62 syBTC thô (8 chữ số thập phân; mệnh giá ~46,1 tỷ) vào một địa chỉ EOA mới; cùng một bên thụ hưởng đã bán tháo khoảng 4,39 WBTC trên Ethereum Uni V4. Đến nay, số tiền thu được từ WBTC là khoảng 336.000 USD.”

Nói một cách đơn giản, hacker đã lừa cầu nối Bitcoin của Symbiosis tạo ra một lượng lớn BTC tổng hợp không có tài sản đảm bảo. Tuy nhiên, đối tượng xấu chỉ bán được một phần rất nhỏ trong số đó với giá khoảng $336.000 dưới dạng Bitcoin bọc (WBTC) thực; phần còn lại là nguồn cung giả mạo mà không ai muốn mua. Symbiosis cũng đã xác nhận vụ tấn công trên X.

Symbiosis thu hồi 15 BTC và treo thưởng 20% cho hacker

“Symbiosis đã gặp phải một sự cố bảo mật. Vào khoảng 04:28 UTC ngày 11 tháng 9 năm 2026, [an] kẻ tấn công đã khai thác một lỗ hổng trong cầu nối Bitcoin. Các tuyến chuyển BTC đã bị ngừng hoạt động. Các tuyến khác vẫn hoạt động bình thường và an toàn,” nhóm đã tiết lộ. Nhóm đã thu hồi được khoảng 15 BTC, hiện được bảo mật trên ví đa chữ ký do nhóm kiểm soát.”

Symbiosis bổ sung:

“Chúng tôi đã liên hệ với kẻ tấn công và đề xuất mức thưởng dành cho hacker mũ trắng là 20% số tiền bị đánh cắp, thời hạn đến ngày 13 tháng 9 năm 2026. Sau thời hạn này, mức thưởng 20% tương tự sẽ được trao cho bất kỳ ai cung cấp thông tin dẫn đến việc thu hồi số tiền.”

Liquid, Nomic và Symbiosis đều bị tấn công bằng cùng một chiêu thức cơ bản

Điều khiến vụ việc này trở nên nghiêm trọng hơn là chiêu thức cơ bản về việc phát hành tài sản không có tài sản đảm bảo này đã xảy ra ba lần trong vài tuần qua. Mặc dù các thủ đoạn không hoàn toàn giống nhau, nhưng Mạng lưới Liquid đã bị rút cạn gần 4.000 BTC thông qua việc sử dụng tài sản không có tài sản đảm bảo, và tương tự, Nomic cũng có một lỗ hổng tồn tại mà không được phát hiện trong nhiều tháng trong hoàn cảnh tương tự.

Cả ba vụ việc đều sử dụng cùng một chiêu thức cơ bản. Về cơ bản, tất cả đều thuyết phục một dự án “bitcoin wrapper” phát hành thêm các đồng coin được cho là đại diện cho các token thực. Tính đến sáng Chủ nhật, ngày 13 tháng 9, Symbiosis vẫn chưa công bố bất kỳ báo cáo kỹ thuật nào giải thích chính xác điểm thất bại của BridgeV2, cũng như chưa có con số cuối cùng về thiệt hại bằng đô la và chưa có xác nhận công khai nào cho thấy kẻ tấn công đã chấp nhận đề nghị thưởng 20% dành cho hacker mũ trắng.