De Symbiosis Bitcoin Bridge-hack toont aan waarom tokenaantal geen geld is — een storting van 25 cent muntte 46 miljard nep-BTC, maar leverde slechts $336K op omdat liquiditeit, niet aanbod, de echte backstop is.
De $0,25 Bridge-hack die 46 miljard nep-Bitcoin muntte
Belangrijkste conclusies
- Een storting van 25 cent stelde een aanvaller in staat om 46,1 miljard niet-ondersteunde syBTC te minten op Symbiosis's Bitcoin Bridge op 11 september 2026.
- Het kopartikel "46 miljard BTC" is fictie: de aanvaller kon slechts ongeveer $336.000 omzetten, omdat liquiditeit, niet de tokenaanbod, de werkelijke beperking is.
- Twee triviale bugs — een ongecontroleerde negatieve vergoeding en een fout in het imiteren van de afzender — zaten in productie. Geen van beide was op zichzelf voldoende.
Bridge- en cross-chain-aanvallen explodeerden van 3 in heel 2025 naar 26 in de eerste negen maanden van 2026.
Voorlopige verliezen voor gebruikers en liquiditeitsverstrekkers: ongeveer 9,97 BTC. Symbiosis herstelde ongeveer 15 BTC en bood een white-hat-bounty van 20%.
Op 11 september 2026 voerde iemand een kwart aan bitcoin — 330 satoshi's — in een bridge genaamd Symbiosis en liep weg met het minten van 46,1 miljard nep-BTC-tokens. Het kopartikel schreef zichzelf. "46 miljard Bitcoin." Meer dan tweeduizend keer het totale aanbod van het meest waardevolle activum dat ooit is gecreëerd, tovenaarswerk uit een storting van 25 cent. En toch ontsnapte de aanvaller met ongeveer $336.000.
Lees dat nog eens. De kloof tussen het nummer dat iedereen deelde en het nummer dat er echt toe deed, is het hele verhaal — en bijna niemand stopte om het op te merken.
Tokenaantal is geen geld
De meest corrosieve gewoonte in cryptomedia is het behandelen van een tokenaantal als een dollarbedrag. De Symbiosis-hack is een perfect voorbeeld. Veertig miljard syBTC klinkt als de diefstal van de eeuw. In werkelijkheid was het een bescheiden leegloop van een brug van minder dan tien echte bitcoins, zodra je het werkelijke verlies meet.
Waarom? Omdat syBTC alleen iets waard is als er echte BTC achter zit, of echte kopers ervoor. Symbiosis meldde een voor incident aanbod van slechts 13,91 syBTC, met 11,26 syBTC dat in liquiditeitspools zat, gepaard met BTCB, cbBTC, WBTC en RBTC. Je kunt een triljoen nep-tokens minten; je kunt geen kopers minten. De aanvaller dumpte ongeveer 4,39 gewrapped bitcoin via Uniswap en botste rechtstreeks tegen de muur van dunne liquiditeit.
Het "46 miljard"-figuur was nooit een maatstaf voor diefstal. Het was een maatstaf voor hoe grondig de exploit de mint-functie had verbroken. Het door elkaar halen van de twee is hoe we koppen krijgen die suggereren dat crypto triljoenen verloor, terwijl de werkelijke schade een afrondingsfout was — en het is ook hoe echte, bescheiden verliezen worden weggehoord als ruis.
Wie wint, wie verliest
De directe verliezers zijn de liquiditeitsverstrekkers die echte activa hielden tegen nep-activa. De voorlopige schatting van Symbiosis plaatst de schade op 9,97 BTC — minder dan een miljoen dollar, verspreid over een handvol pools. Klein in aggregate, maar totaal voor wie aan de verkeerde kant van de pool zat.
De stille winnaar is de stelling dat 'liquiditeit de backstop is'. De plafond van de exploitatie was niet de slimheid van de aanvaller of de verdedigingen van het protocol; het was de ondiepe pool. Dat is het overwegen waard, omdat het ingaat tegen het eigen veiligheidsverhaal van crypto. Wat Symbiosis redde, was geen audit of multisig — het was het gebrek aan geld om te stelen.
De diepere verliezers zijn elke andere bridge. Het falen van Symbiosis is nu een sjabloon: twee onafhankelijke fouten, die elk op zich niet dodelijk waren, gecombineerd tot één exploitatie. Blockaid markeerde de verdachte aanroep op BNB Chain binnen de stroom van normale monitoring, maar op dat moment was de mint al geactiveerd. En de hele 'wrapped Bitcoin'-economie — WBTC, cbBTC, syBTC, RBTC — lijdt onder nevenschade. Elk van die activa is een belofte die een stuk software nakomt, en deze hack is een herinnering aan hoeveel van crypto's waarde nu in die beloftes leeft in plaats van in de basischain.
Bridges zijn de nieuwe beurs
Hier is het nummer dat je eigenlijk bang zou moeten maken: in 2025 registreerde DefiLlama drie bridge- en cross-chain-aanvallen. In de eerste negen maanden van 2026 registreerde het er zesentwintig. We hebben gezien hoe het aanvalsoppervlak van crypto zich in real time verplaatst. Beursen hebben een decennium lang kluisjes, multisigs, verzekeringsfondsen en littekenweefsel opgebouwd. Toen herbouwden we dezelfde centralisatie — hetzelfde 'vertrouw deze partij om het echte actief te houden' — binnen slimme contracten die we snel uitbrachten en sneller auditten.
Een bridge is structureel vervloekt omdat het een bewaarder is die zich voordoet als een protocol. Het vergrendelt echt BTC op de ene chain en geeft een synthetische versie uit op een andere. Die synthetische versie is alleen zo goed als de vergrendeling en de mint/burn-logica. Een aanvaller hoeft Bitcoin niet te breken. Ze hoeven slechts één regel aritmetiek in de wrapper te breken. De post-mortem van Symbiosis is er blunt over: de aanvaller misbruikte een fout in de verzenderidentificatie om zich uit te geven als een geautoriseerde deposant, en duwde de portal-fee onder nul, zodat het aftrekken van een ongecontroleerd negatief getal de gecrediteerde deposit verhoogde. Twee bugs. Eén kwartaal. Zesendertig miljard tokens.
Dit is dezelfde les als de Liquid Network-drain eerder in september, waar de basisconsensus standhield en de omliggende settlement-software faalde — behalve dat Symbiosis het punt maakt met een kwartaal in plaats van $320 miljoen.
Audittheater en de kwartaaltest
Elke van deze post-mortems eindigt op dezelfde manier: "twee fouten, geen van beide alleen voldoende, nu verholpen." Dit roept de vraag op die niemand eerlijk beantwoordt: als een kwartaal en een ontbrekende check voor negatieve getallen 46 miljard tokens kunnen mintsen, waar keken de audits dan precies naar?
Het eerlijke antwoord is dat audits een momentopname zijn, geen garantie. Ze verifiëren dat code op een bepaald moment overeenkomt met een specificatie; ze bewijzen niet dat de specificatie veilig is, en ze zeggen niets over hoe de code zich gedraagt onder een vijandige combinatie van twee individueel acceptabele fouten. De toekomst van bridge-beveiliging ligt niet bij meer audits. Het ligt bij een kleinere explosie-omvang — geminted volume met snelheidsbeperking, caps die worden gecontroleerd tegen daadwerkelijk vergrendelde onderpanden in plaats van lokale staat, en circuit breakers die een bridge direct pauzeren zodra het mintvolume afwijkt van elke verstandige vermenigvuldiging van de reserves.
Er is ook een regelgevende draad die hieraan trekt. Naarmate stablecoin-regels van kracht worden en instellingen naar on-chain gaan, is de wrapper-laag — waar de waarde daadwerkelijk leeft — de plek waar de volgende handhavingsfocus zal vallen. Geen enkele bank zal "code is law" accepteren als antwoord op de vraag waarom het wrapped onderpand van zijn klanten is verdampt.
Het perspectief van de handelaar
Als je wrapped assets houdt — WBTC, cbBTC, of een andere gebonden of synthetische representatie van een basisasset — houd je niet de basisasset. Je houdt een vordering op een stuk infrastructuur, en die vordering draagt risico's die de basisasset niet heeft.
De kernboodschap hier gaat over positionering, niet over richting. De liquiditeit van wrapped-assets is het dunst op het moment dat je juist wilt uitstappen. Bij een stresssituatie ontkoppelt een bridge-token sneller van zijn peg dan de onderliggende activa bewegen. Als je geleend bent op wrapped collateral, ben je effectief short in een bridge waarvan je de code nooit hebt gelezen. De aanvaller van Symbiosis stuitte op een liquiditeitsplafond van ongeveer $336.000 — en dat cijfer vertelt je alles: dunne liquiditeit is een feature wanneer je het protocol bent (het beperkt de schade van een exploit) en een bug wanneer je de houder bent (het beperkt je mogelijkheid om uit te stappen).
Sluiten
Dus hier is de ongemakkelijke vraag: als een storting van 25 cent 46 miljard tokens kan minten, en het enige dat dat en een ramp van elkaar scheidt is hoeveel echt geld er toevallig die dag in de pool zat, wat betekent 'veilig' dan nog in deze industrie? De volgende bridge-hack lande misschien niet op een pool met $336.000 aan liquiditeit. Het kan zijn dat het een pool met $3 miljard raakt. De kwartaaltest schaalt niet.
FAQ
Wat gebeurde er precies bij de Symbiosis-hack? Op 11 september 2026 exploiteerde een aanvaller twee fouten in het Bitcoin Bridge smart contract van Symbiosis — een bug voor verzender-impersonatie en een ongecontroleerde berekening van negatieve fees — om ongeveer 46,1 miljard niet-ondersteunde syBTC-tokens te minten met een storting van 330 satoshi (ongeveer $0,25).
Werd er echt 46 miljard bitcoin gecreëerd? Nee. syBTC is een synthetische bridge-token, geen bitcoin. Het aanbod van bitcoin blijft beperkt tot 21 miljoen munten. Het cijfer beschrijft neppe, niet-ondersteunde bridge-tokens, die nooit inwisselbaar waren tegen echt BTC buiten de beperkte liquiditeit van de bridge om.
Hveveel is de aanvaller er eigenlijk mee van doorgekomen? Ongeveer $336.000, door ongeveer 4,39 wrapped bitcoin te verkopen via Uniswap. Het overgrote deel van de geminte tokens was waardeloos omdat er niet genoeg echte liquiditeit was om ze om te zetten.
Waarom worden bridges nu zo vaak aangevallen? Bridges vergrendelen echte activa en geven synthetische tokens uit, wat betekent dat hun beveiliging afhangt van foutloze lock- en mint/burn-logica. Aanvallers kunnen een bridge breken zonder de onderliggende blockchain aan te tasten. Cross-chain-aanvallen zijn gestegen van 3 in 2025 naar 26 in de eerste negen maanden van 2026.
Wat moet ik doen als ik wrapped bitcoin houd? Begrijp dat je een vordering op de infrastructuur houdt, niet op het basisactivum, en dat de liquiditeit kan opdrogen tijdens een stressgebeurtenis. Beoordeel de beveiligingsgeschiedenis van de bridge en overweeg of de yield of het nut het extra wrapper-risico rechtvaardigen. Voor het Symbiosis-incident raadpleeg de officiële post-mortem van Symbiosis op symbiosis.finance en de analyse van Blockaid op blockaid.io.