Symbiosis, protocole de liquidité cross-chain, a confirmé l'exploitation de son pont Bitcoin (BTC Bridge) aux premières heures du 11 septembre 2026, un incident qui a permis la création de milliards de syBTC – la version synthétique du bitcoin émise par la plateforme – sans aucun réel adossement en réserve. L'équipe a perturbé les routes BTC, récupéré environ 15 BTC (environ 1,16 million de dollars américains, ou 6,76 millions de reais au taux de change de 5,80 reais) et a offert à l'attaquant une récompense de chapeau blanc de 20 % des fonds, avec une date limite fixée au 13 septembre.
Émission d'un milliard de dollars, retrait de centaines de milliers de dollars
Selon une alerte de la plateforme de sécurité en chaîne Blockaid, publiée sur le réseau social, le même bénéficiaire a réussi à en convertir une partie en actifs réels : environ 4,39 WBTC (wraped bitcoin) ont été vendus sur Uniswap v4, sur Ethereum, générant environ 336 000 $ US (environ 1,95 million de R$) de revenus effectifs.
L’écart entre la valeur nominale créée et la valeur réellement retirée est au cœur du problème : l’écrasante majorité des syBTC générés étaient de faux stocks, sans acheteur. Symbiosis a également confirmé l'attaque via
Récupération partielle et récompense conditionnée
L'équipe Symbiosis a affirmé avoir récupéré environ 15 BTC, désormais conservés dans un portefeuille multisig sous le propre contrôle de l'équipe. L'entreprise a ensuite contacté l'attaquant en lui proposant une récompense de type chapeau blanc équivalente à 20 % des fonds, valable jusqu'au 13 septembre 2026.
Selon Symbiosis, si le délai expire sans remboursement, le même pourcentage de 20 % sera offert à toute personne fournissant des informations susceptibles de conduire à la récupération des ressources. Jusqu'au matin du 13 septembre, il n'y avait aucune confirmation publique que l'attaquant avait accepté les conditions.
Principaux points de l'incident
- ÉMISSION: Des milliards de syBTC non sauvegardés ont été créés en exploitant le pont BridgeV2.
- VALEUR RÉALISÉE: l'attaquant a obtenu environ 336 000 $ US en WBTC réel, une infime fraction de la fausse valeur nominale.
- FONDS RÉCUPÉRÉS: Environ 15 BTC ont été sécurisés en multisig contrôlé par l'équipe Symbiosis.
- OPÉRATION: les routes BTC restent suspendues ; d'autres itinéraires ont été décrits comme opérationnels et sûrs.
- STATUT: Le montant final de la perte et l'acceptation de la récompense restent sans confirmation publique.
Un modèle récurrent dans les ponts Bitcoin
L'affaire Symbiosis s'ajoute à deux incidents récents impliquant des jetons censés représenter le Bitcoin sous une forme adossée : le L-BTC de Liquid Network, une sidechain maintenue par Blockstream, a subi une fuite de près de 4 000 BTC via des actifs non garantis, et le nBTC de Nomic a connu un échec similaire qui est passé inaperçu pendant des mois. Dans les trois cas, selon le rapport original, le mécanisme de base était le même : convaincre un projet de wrapper Bitcoin d’émettre des pièces supplémentaires censées correspondre à de vrais jetons.
Ce type de risque opérationnel dans les intégrations inter-chaînes est apparu de plus en plus fréquemment dans l’actualité concernant les protocoles DeFi et les différends entre les écosystèmes inter-chaînes. Au matin du 13 septembre, Symbiosis n'avait pas publié de rapport technique détaillant l'échec de BridgeV2, ni de chiffre final de perte en dollars ni de calendrier pour la reprise de la route BTC.
Voir l’article original en portugais
