Прошла неделя после того, как Liquid Network потерял около 4000 BTC из-за бага в пеге, — и треснул ещё один синтетический биткоин. На этот раз syBTC, wrapped BTC кросс-чейн протокола Symbiosis. Атакующий напечатал необеспеченных токенов на номинал около $46,1 млрд — и смог превратить их примерно в $336 тыс. реальных денег.
Разрыв между этими двумя цифрами — и есть главный урок. Wrapped BTC стоит ровно столько, сколько контракт, который его минтит. Когда контракт ломается, ущерб ограничен не цифрой из заголовка, а тем, сколько настоящей ликвидности атакующий успеет вычерпать, пока рынок ещё покупает.
Wrapped BTC — это обещание, записанное в коде. Сломай код — и обещание начнёт печатать само себя.
Главное
- 11 сентября 2026 года около 04:28 UTC атакующий использовал баг в контракте BridgeV2 кросс-чейн протокола Symbiosis; атаку публично зафиксировала security-компания Blockaid.
- Атакующий заминтил около 2^62 raw-единиц необеспеченного syBTC — номиналом примерно $46,1 млрд — на новый адрес в BNB Chain.
- Реально продать удалось лишь около 4,39 WBTC через Uniswap v4 в Ethereum — примерно за $336 тыс.
- Symbiosis заявляет, что вернула около 15 BTC (~$1,15 млн); они лежат на multisig под контролем команды.
- Атакующему предложили white-hat bounty 20% до 13 сентября; после этого те же 20% получит любой, чья информация поможет вернуть ещё средства.
- Нативный Bitcoin-мост на паузе, но BTC-свопы вернули, пустив их через партнёров Chainflip и THORChain.
Что случилось с мостом Symbiosis 11 сентября?
11 сентября 2026 года около 04:28 UTC атакующий нашёл баг в контракте BridgeV2 протокола Symbiosis и заминтил примерно 2^62 raw-единиц необеспеченного syBTC на свежесозданный адрес в BNB Chain. Blockaid публично подсветила атаку, а Symbiosis поставила нативный Bitcoin-мост на паузу на время расследования.
Symbiosis — не маргинальный проект. Примерно за пять лет через него прошло больше $10 млрд кросс-чейн свопов, сейчас в протоколе заблокировано около $7 млн. syBTC должен представлять биткоин, который держит мост. Баг в BridgeV2 порвал эту связь: токены появились в BNB Chain без единого биткоина под ними.
По данным CoinCentral, номинал заминченного — около $46,1 млрд, в тысячи раз больше, чем весь протокол вообще держит. Эта цифра попала в заголовки. И это самая неважная цифра во всей истории.
Почему фейковые syBTC на $46 млрд не превратились в убыток на $46 млрд?
Потому что токен стоит ровно столько, сколько за него готовы заплатить прямо сейчас, а за syBTC никто не мог заплатить миллиарды. Пула такой глубины просто не было. Атакующий продал лишь около 4,39 WBTC через Uniswap v4 в Ethereum примерно за $336 тыс. — погрешность на фоне номинала заминченного.
Так заканчивается большинство mint-багов. Сколько напечатать — ограничено размером integer. Сколько украсть — ограничено реальными активами в пулах, которые принимают этот токен. Как только пулы вычерпаны или токен помечен, остальной supply — просто цифры в кошельке.
Это же подсказывает, где оседают потери. Не в заголовке, а у liquidity provider’ов, чьи настоящие активы стояли по другую сторону сделок атакующего. Symbiosis сама это признала в заявлении для The Block: «Мы связываемся с каждым пострадавшим LP напрямую. Мы строим схему компенсаций и скоро опубликуем критерии».
Удалось ли Symbiosis что-то вернуть?
Частично. 13 сентября Symbiosis сообщила The Block, что вернула около 15 BTC — примерно $1,15 млн — и перевела их на multisig-кошелёк под контролем команды. Критерии компенсаций для пострадавших LP пока не опубликованы.
Ещё команда предложила атакующему white-hat bounty 20% — до 13 сентября. После дедлайна оффер меняет адресата: те же 20% получит любой, чья информация приведёт к возврату средств. Стандартный DeFi-плейбук: сделать возврат дешевле отмывания, а остальной интернет превратить в следователей.
Как BTC-свопы продолжили работать, пока мост стоял?
Symbiosis поставила на паузу только то, что сломалось. Нативный Bitcoin-мост ушёл в офлайн, а маршруты в EVM-сетях, TRON, TON, Octopools и relayer-сеть продолжили работать. BTC-свопы вернули, пустив их через партнёров Chainflip и THORChain вместо остановленного моста.
Это самая полезная деталь всего инцидента. Один маршрут упал — а биткоин по-прежнему можно было двигать, потому что существовали другие, независимые маршруты. Ни один контракт не нёс на себе весь трафик, поэтому ни один баг не смог его остановить.
Рынок почти не заметил. По данным The Rio Times, BTC закончил 13 сентября около $76 838 (−0,56%), ETH — около $2477 (−1,9%). Много на бумаге, мало в реальных деньгах.
Что это значит для тех, кто свапает?
Если твоя цель — биткоин, самое безопасное конечное состояние — нативный BTC на адресе, который контролируешь ты, а не wrapped-токен в другой сети. Wrapped-токен добавляет контракт, которому надо доверять, и syBTC показал: этот контракт может сломаться, даже когда сети вокруг работают нормально.
- Получай нативный BTC на свой кошелёк, если именно там хочешь оказаться.
- Смотри, что маршрут реально доставляет. «BTC» не в сети Bitcoin — это всегда wrapped-требование к чьему-то контракту.
- Сравнивай несколько маршрутов. Тот, что ты знаешь, — не единственный рабочий.
Второй урок — избыточность, та же логика, что спасла BTC-свопы Symbiosis. SwapZilla — non-custodial агрегатор: он не держит твои монеты, а сравнивает котировки нескольких независимых провайдеров и отправляет результат на твой адрес. На DEX-витрине котировки DEX и CEX стоят рядом в одном списке — если один маршрут встал, остальные продолжают котировать. Это не делает отдельного провайдера безрисковым и не чинит сломанный мост. Просто ты никогда не завязан на один. Про trade-off’ы — в разборе DEX vs CEX vs своп-агрегатор и в нашем сравнении своп-агрегаторов.
Финальная мысль
Взлом Symbiosis запомнят по заголовку про $46 млрд, но полезные цифры скромнее: около $336 тыс. выведено, 15 BTC возвращено, один мост на паузе, остальные маршруты работают. Номинал не сказал почти ничего. Всё остальное сказали ликвидность и избыточность.
Не считай токены. Считай маршруты.
Liquid, теперь Symbiosis: wrapped-биткоин снова доказывает, что он полезная сантехника — и не более. Используй его, чтобы добраться куда нужно, а держи настоящий BTC там, где обещание — не чужой контракт.