Cầu nối Bitcoin Symbiosis bị tấn công: 46 tỷ syBTC giả được đúc trong vụ khai thác 336.000 USD

Nhà cung cấp cơ sở hạ tầng chuỗi chéo Symbiosis tiết lộ rằng cơ sở hạ tầng cầu nối Bitcoin của họ đã bị vi phạm bảo mật vào ngày 11 tháng 9 năm 2026. Vụ khai thác cho phép một bên không được ủy quyền lợi dụng lỗ hổng trong hợp đồng thông minh BridgeV2, dẫn đến việc tạo ra hàng tỷ token bitcoin tổng hợp bất hợp pháp.

Nền tảng giám sát an ninh mạng Blockaid ban đầu đã phát hiện và công bố vụ vi phạm. Theo phân tích của họ, thủ phạm đã tạo ra khoảng 46,1 tỷ syBTC—một con số vượt quá 2.000 lần tổng nguồn cung lưu hành của Bitcoin. Các token giả mạo này đã được chuyển đến một địa chỉ ví mới được tạo.

Mặc dù số lượng token giả được đúc là rất lớn, kẻ tấn công phải đối mặt với những hạn chế đáng kể về thanh khoản. Chúng chỉ trao đổi được khoảng 4,39 bitcoin bọc qua Uniswap trên mạng Ethereum, cuối cùng rút ra được khoảng 336.000 đô la. Các token được đúc còn lại không có nhu cầu thị trường.

Sau khi phát hiện, Symbiosis đã thừa nhận sự cố bảo mật và ngay lập tức đình chỉ tất cả chức năng định tuyến Bitcoin gốc. Giao thức vẫn duy trì hoạt động cho các tuyến thay thế bao gồm các blockchain tương thích EVM, TRON và mạng TON. Dịch vụ Octopools của họ tiếp tục hoạt động mà không bị gián đoạn.

Symbiosis thu hồi 15 BTC và đưa ra tiền thưởng

Theo Symbiosis, nhóm đã thu hồi thành công khoảng 15 BTC sau vụ vi phạm. Với tỷ giá thị trường hiện tại, số tiền thu hồi này tương đương khoảng 1,15 triệu đô la. Các tài sản thu hồi này hiện được bảo mật trong ví đa chữ ký do nhóm cốt lõi quản lý.

Nhóm phát triển đã liên hệ với thủ phạm, đưa ra đề xuất tiền thưởng mũ trắng tương đương 20% tài sản bị chiếm đoạt. Đề xuất này bao gồm thời hạn chấp nhận là ngày 13 tháng 9. Sau thời hạn này, Symbiosis tuyên bố sẽ chuyển hướng 20% ưu đãi tương tự cho bất kỳ cá nhân nào cung cấp thông tin tình báo có thể hành động giúp thu hồi thêm tiền.

Nền tảng cho biết họ đang làm việc trực tiếp với các nhà cung cấp thanh khoản bị ảnh hưởng. Một cấu trúc bồi thường đang được phát triển, với các thông số đủ điều kiện cụ thể dự kiến sẽ được công bố sớm. Chức năng trao đổi Bitcoin đã được khôi phục thông qua các đối tác tích hợp bên thứ ba Chainflip và THORChain, trong khi cầu nối độc quyền vẫn bị vô hiệu hóa.

Vụ khai thác cầu nối Bitcoin thứ ba trong vài tuần

Vụ vi phạm này là một diễn biến khác trong một xu hướng đáng báo động. Trong những tuần gần đây, cả Liquid Network và Nomic đều gặp phải các cuộc tấn công tương tự liên quan đến các token phái sinh Bitcoin không được bảo chứng.

Liquid Network do Blockstream vận hành đã chứng kiến kẻ tấn công tạo ra khoảng 4.000 token LBTC không được bảo chứng và chuyển đổi chúng thành Bitcoin thật. Thủ phạm sau đó đã trả lại khoảng 3.400 BTC, mặc dù Blockstream từ chối bồi thường cho 598,5 BTC còn lại chưa được thu hồi.

Nomic gặp phải một điểm yếu bảo mật riêng biệt không bị phát hiện trong một thời gian dài trong các điều kiện tương tự. Cả ba vụ vi phạm đều sử dụng các phương pháp cơ bản giống hệt nhau—khai thác các nền tảng bọc Bitcoin để tạo ra các token quá mức được cho là được bảo chứng bằng tài sản hợp pháp.

Tính đến ngày 13 tháng 9, Symbiosis chưa công bố phân tích kỹ thuật toàn diện chi tiết chính xác cách hợp đồng BridgeV2 bị xâm phạm. Không có tuyên bố công khai nào xác minh liệu kẻ tấn công có phản hồi đề xuất tiền thưởng hay không.

Kể từ khi thành lập khoảng năm năm trước, Symbiosis đã tạo điều kiện cho hơn 10 tỷ đô la khối lượng giao dịch tích lũy. Giao thức hiện duy trì khoảng 7 triệu đô la tổng giá trị bị khóa.