Взлом биткоин-моста Symbiosis показывает, почему количество токенов — это не деньги: депозит в 25 центов позволил создать 46 миллиардов фальшивых BTC, но принес всего $336K, потому что ликвидность, а не предложение, является реальной поддержкой.
Взлом моста за $0,25, который создал 46 миллиардов фальшивых биткоинов
Ключевые выводы
- Вклад в 25 центов позволил злоумышленнику выпустить 46,1 миллиарда необеспеченных syBTC на Bitcoin Bridge от Symbiosis 11 сентября 2026 года.
Заголовок о «46 миллиардах BTC» — вымысел: злоумышленник мог конвертировать лишь около 336 000 долларов, поскольку реальным ограничением является ликвидность, а не предложение токенов.
- Две тривиальные ошибки — непроверенная отрицательная комиссия и уязвимость подмены отправителя — находились в продакшене. Ни одна из них по отдельности не была достаточной.
- Атаки на мосты и кросс-чейн протоколы выросли с 3 за весь 2025 год до 26 за первые девять месяцев 2026 года.
- Предварительные убытки пользователей и поставщиков ликвидности: около 9,97 BTC. Symbiosis восстановила примерно 15 BTC и предложила вознаграждение в размере 20% за белую шляпу.
11 сентября 2026 года кто-то перевел четверть сатоши биткоина — 330 сатоши — в мост Symbiosis и ушел с 46,1 миллиарда поддельных токенов «BTC». Заголовок сложился сам собой. «46 миллиардов биткоинов». Более чем в две тысячи раз больше общего предложения самого ценного актива, когда-либо созданного, выкованного из депозита в 25 центов. И тем не менее, злоумышленник ушел с примерно 336 000 долларов.
Прочтите это еще раз. Разрыв между числом, которым все делились, и числом, которое действительно имело значение, — это вся история — и почти никто не остановился, чтобы заметить это.
Количество токенов — это не деньги
Самая разрушительная привычка в крипто-медиа — считать количество токенов за долларовую сумму. Взлом Symbiosis — идеальный пример. Сорок шесть миллиардов syBTC звучит как кража века. На самом деле это была скромная утечка через мост на сумму менее десяти реальных биткоинов, если измерять фактические потери.
Почему? Потому что syBTC имеет ценность только в том случае, если за ним стоят реальные BTC или реальные покупатели. Symbiosis сообщала о предложении до инцидента всего в 13,91 syBTC, из которых 11,26 syBTC находились в пулах ликвидности, спаренных с BTCB, cbBTC, WBTC и RBTC. Вы можете отчеканить триллион фальшивых токенов; вы не можете отчеканить покупателей. Атакующий сбросил около 4,39 обернутых биткоинов через Uniswap и уперся в стену тонкой ликвидности.
Цифра «46 миллиардов» никогда не была мерой кражи. Это была мера того, насколько глубоко эксплойт сломал функцию минта. Смешение этих двух понятий приводит к заголовкам, предполагающим, что крипто потеряло триллионы, хотя фактический ущерб был просто округлением — и именно так реальные, скромные потери забываются и теряются в шуме.
Кто побеждает, кто проигрывает
Прямыми проигравшими являются поставщики ликвидности, которые держали реальные активы вместо поддельных. Предварительная оценка Symbiosis оценивает ущерб в 9,97 BTC — менее миллиона долларов, распределенных по нескольким пулам. В совокупности это небольшая сумма, но полная для тех, кто оказался на проигрышной стороне пула.
Тихим победителем становится тезис «ликвидность — это страховка». Потенциал эксплойта определялся не хитростью атакующего или защитами протокола, а неглубоким пулом. Это стоит обдумать, поскольку это противоречит собственной истории безопасности криптоиндустрии. То, что спасло Symbiosis, — это не аудит и не мультиподпись, а отсутствие средств для кражи.
Более глубокими проигравшими являются все остальные мосты. Провал Symbiosis теперь становится шаблоном: две независимые уязвимости, каждая из которых по отдельности не была фатальной, объединились в один эксплойт. Blockaid обнаружил подозрительный вызов в BNB Chain в рамках обычного мониторинга, но к тому времени операция mint уже была выполнена. И вся экономика «обернутых биткоинов» — WBTC, cbBTC, syBTC, RBTC — получает косвенный ущерб. Каждый из этих активов — это обещание, которое поддерживает программное обеспечение, и этот взлом напоминает о том, какая часть стоимости криптоиндустрии теперь живет в этих обещаниях, а не в базовой блокчейн-сети.
Мосты — новые биржи
Вот число, которое должно вас напугать: в 2025 году DefiLlama зафиксировала три атаки на мосты и кросс-чейн протоколы. За первые девять месяцев 2026 года их было зафиксировано двадцать шесть. Мы наблюдали, как поверхность атак криптоиндустрии перемещается в реальном времени. Биржи потратили десятилетие на создание хранилищ, мультиподписей, страховых фондов и «рубцов». Затем мы воссоздали ту же централизацию — ту же «доверенную сторону, хранящую реальный актив» — внутри смарт-контрактов, которые мы быстро развернули и быстро проверили аудитом.
Мост структурно проклят, потому что он является кастодианом, выдающим себя за протокол. Он блокирует реальный BTC в одной цепи и выпускает синтетический актив в другой. Этот синтетический актив настолько хорош, насколько надежны блокировка и логика чеканки/сжигания. Атакующему не нужно взламывать Биткоин. Ему нужно взломать одну строчку арифметики в обертке. Посмертный отчет Symbiosis прямо об этом говорит: атакующий использовал уязвимость идентификации отправителя, чтобы выдать себя за авторизованного депозитора, и установил комиссию портала ниже нуля, так что вычитание неконтролируемого отрицательного числа привело к завышению зачисленного депозита. Две ошибки. Одна четверть. Сорок шесть миллиардов токенов.
Это тот же урок, что и утечка Liquid Network в начале сентября, когда базовый консенсус устоял, а окружающее программное обеспечение для расчетов дало сбой, — за исключением того, что Symbiosis иллюстрирует этот тезис с помощью четверти, а не 320 миллионов долларов.
Театр аудита и тест на четверть
Каждый из этих посмертных отчетов заканчивается одинаково: «две уязвимости, ни одна из которых не достаточна сама по себе, теперь исправлены». Это поднимает вопрос, на который никто не отвечает честно: если четверть и отсутствие проверки отрицательного числа могут создать 46 миллиардов токенов, что именно проверяли аудиторы?
Честный ответ заключается в том, что аудиты — это снимок состояния, а не гарантия. Они подтверждают, что код соответствует спецификации в определенный момент времени; они не доказывают безопасность самой спецификации и ничего не говорят о том, как код ведет себя при враждебном сочетании двух по отдельности приемлемых уязвимостей. Будущее безопасности мостов — не в большем количестве аудитов. Это в уменьшении радиуса поражения — лимитирование чеканки, проверка лимитов на основе фактически заблокированного залога, а не локального состояния, и автоматические выключатели, останавливающие мост в ту же секунду, когда объем чеканки отклоняется от любого разумного множителя резервов.
Здесь также прослеживается регуляторная тенденция. По мере внедрения правил для стейблкоинов и перемещения институциональных игроков в блокчейн, слой обертки — где фактически находится стоимость — станет следующим объектом пристального внимания регуляторов. Ни один банк не примет «код есть закон» в качестве ответа на вопрос, почему обесценился залоговый актив его клиентов в форме обертки.
Угол зрения трейдера
Если вы держите обернутые активы — WBTC, cbBTC или любое другое мостовое или синтетическое представление базового актива — вы держите не сам базовый актив. Вы держите право требования к части инфраструктуры, и это право требования несет риски, которых нет у базового актива.
Здесь ключевой вывод касается позиционирования, а не направления. Ликвидность обернутых активов наиболее тонка именно тогда, когда вам нужно выйти из позиции. В стрессовой ситуации токен моста отклоняется от своего пег-курса быстрее, чем движется базовый актив. Если вы используете плечо на обеспечении в виде обернутых активов, вы по сути занимаете короткую позицию по мосту, код которого вы никогда не читали. Атакующий в случае с Symbiosis уперся в потолок ликвидности примерно на уровне $336,000 — и это число говорит обо всем: тонкая ликвидность является функцией, когда вы протокол (она ограничивает ущерб от эксплойта), и багом, когда вы держатель (она ограничивает вашу возможность выйти).
Заключение
Итак, вот неудобный вопрос: если депозит в 25 центов может отминтить 46 миллиардов токенов, и единственное, что стоит на пути к катастрофе, — это то, сколько реальных денег случайно оказалось в пуле в тот день, что вообще означает «безопасно» в этой индустрии сейчас? Следующая взлом моста может произойти не в пуле с ликвидностью в $336,000. Он может произойти в пуле с ликвидностью в $3 миллиарда. Тест на квартал не масштабируется.
FAQ
Что именно произошло при взломе Symbiosis? 11 сентября 2026 года атакующий эксплуатировал две уязвимости в смарт-контракте Bitcoin Bridge от Symbiosis — баг с имперсонацией отправителя и не проверенный расчет отрицательной комиссии — чтобы отминтить около 46,1 миллиарда необеспеченных токенов syBTC из депозита в 330 сатоши (примерно $0,25).
Действительно ли было создано 46 миллиардов биткоинов? Нет. syBTC — это синтетический мостовой токен, а не биткоин. Предложение биткоина по-прежнему ограничено 21 миллионом монет. Эта цифра описывает поддельные необеспеченные мостовые токены, которые никогда не подлежали обмену на реальный BTC за пределами ограниченной ликвидности моста.
Сколько на самом деле удалось украсть злоумышленнику? Около 336 000 долларов, продав примерно 4,39 обернутых биткоинов через Uniswap. Подавляющее большинство выпущенных токенов были бесполезны, поскольку не было достаточной реальной ликвидности для их конвертации.
Почему мосты так часто становятся мишенями сейчас? Мосты блокируют реальные активы и выпускают синтетику, а значит, их безопасность зависит от безупречной логики блокировки и выпуска/сжигания. Злоумышленники могут взломать мост, не затрагивая базовую блокчейн-сеть. Количество атак через кросс-чейн мосты выросло с 3 в 2025 году до 26 в первые девять месяцев 2026 года.
Что делать, если у вас есть обернутый биткоин? Поймите, что вы держите требование к инфраструктуре, а не к базовому активу, и что его ликвидность может иссякнуть в условиях стресса. Оцените историю безопасности моста и решите, оправдывает ли доходность или полезность добавленный риск обертки. В частности, по инциденту с Symbiosis обратитесь к официальному отчету Symbiosis на symbiosis.finance и анализу Blockaid на blockaid.io.