Piratage du pont Bitcoin de Symbiosis : 46 milliards de faux syBTC émis lors d'une exploitation de 336 000 $

Le fournisseur d'infrastructure inter-chaînes Symbiosis a révélé que son infrastructure de pont Bitcoin a subi une faille de sécurité le 11 septembre 2026. L'exploitation a permis à une partie non autorisée de tirer parti d'une faille dans le contrat intelligent BridgeV2, entraînant la création de milliards de jetons bitcoin synthétiques illégitimes.

La plateforme de surveillance de cybersécurité Blockaid a initialement détecté et rendu publique la violation. Selon leur analyse, l'auteur a généré environ 46,1 milliards de syBTC, une quantité dépassant de plus de 2 000 fois l'offre totale en circulation de Bitcoin. Ces jetons fabriqués ont été transférés vers une adresse de portefeuille nouvellement créée.

Bien que la quantité de jetons contrefaits émis ait été énorme, l'attaquant a été confronté à d'importantes contraintes de liquidité. Il n'a réussi à échanger qu'environ 4,39 bitcoins enveloppés via Uniswap sur le réseau Ethereum, extrayant finalement environ 336 000 $. Les jetons émis restants n'ont trouvé aucune demande sur le marché.

Suite à la découverte, Symbiosis a reconnu l'incident de sécurité et a immédiatement suspendu toutes les fonctionnalités de routage Bitcoin natif. Le protocole a maintenu ses opérations pour les itinéraires alternatifs couvrant les blockchains compatibles EVM, TRON et les réseaux TON. Leur service Octopools a continué de fonctionner sans interruption.

Symbiosis récupère 15 BTC et offre une prime

Selon Symbiosis, l'équipe a réussi à récupérer environ 15 BTC après la violation. Aux taux du marché en vigueur, cette récupération représente environ 1,15 million de dollars de valeur. Ces actifs récupérés sont actuellement sécurisés dans un portefeuille multisignature géré par l'équipe principale.

L'équipe de développement a pris contact avec l'auteur, proposant une prime de white-hat équivalente à 20 % des actifs détournés. Cette proposition incluait une date limite d'acceptation au 13 septembre. Passé ce délai, Symbiosis a annoncé qu'elle redirigerait la même incitation de 20 % vers toute personne fournissant des renseignements exploitables facilitant la récupération de fonds supplémentaires.

La plateforme a indiqué qu'elle s'engage directement auprès des fournisseurs de liquidité concernés. Une structure de compensation est en cours d'élaboration, avec des paramètres d'éligibilité spécifiques dont la publication est imminente. La fonctionnalité d'échange de Bitcoin a été rétablie via les partenaires d'intégration tiers Chainflip et THORChain, tandis que le pont propriétaire reste désactivé.

Troisième exploitation de pont Bitcoin en quelques semaines

Cette violation représente un nouvel épisode d'une tendance alarmante. Au cours des dernières semaines, Liquid Network et Nomic ont tous deux subi des attaques comparables impliquant des jetons dérivés de Bitcoin non adossés.

Le réseau Liquid exploité par Blockstream a vu un adversaire générer environ 4 000 jetons LBTC non adossés et les convertir en Bitcoin authentique. L'auteur a ensuite restitué environ 3 400 BTC, bien que Blockstream ait refusé de compenser les 598,5 BTC restants qui n'ont pas été récupérés.

Nomic a rencontré une faiblesse de sécurité distincte qui est restée indétectée pendant une période prolongée dans des conditions comparables. Les trois violations ont employé des méthodologies fondamentalement identiques : exploiter les plateformes d'emballage de Bitcoin pour générer des jetons excessifs prétendument adossés à des actifs légitimes.

Au 13 septembre, Symbiosis n'a pas publié d'analyse technique complète détaillant précisément comment le contrat BridgeV2 a été compromis. Aucune déclaration publique n'a vérifié si l'attaquant a répondu à la proposition de prime.

Depuis sa création il y a environ cinq ans, Symbiosis a facilité plus de 10 milliards de dollars de volume de transactions cumulé. Le protocole maintient actuellement environ 7 millions de dollars de valeur totale verrouillée.