Symbiosis suspend son pont Bitcoin après qu'un pirate a créé des milliards de faux syBTC

Symbiosis a mis fin à son pont Bitcoin aux premières heures du 11 septembre après qu’une personne a trouvé le moyen de faire croire au protocole qu’il avait reçu des bitcoins qui n’avaient jamais été envoyés. Le montant en dollars lié à ce vol dépend des chiffres auxquels on se fie. Un compte OSINT sur X, osint_based, a estimé la perte à 750 000 dollars. Blockaid, la société de sécurité qui a détecté l’attaque en temps réel, ainsi que les outils de suivi d’incidents qui ont relayé ses données par la suite, ont avancé un chiffre plus proche de 336 000 dollars. Aucun de ces montants n’est colossal selon les normes de 2026, mais l’écart entre les deux rappelle que les premières heures suivant l’exploitation d’un pont fournissent rarement une réponse claire.

Ce qui s’est réellement passé

BridgeV2 est le contrat qui permet au Bitcoin natif d’être transféré vers Symbiosis sous la forme de syBTC, un token synthétique destiné à suivre le BTC à parité sur d’autres chaînes. Il s’appuie sur un réseau de relais hors chaîne qui signe les messages inter-chaînes à l’aide de clés à seuil MPC, et il est censé vérifier que tout message « Bitcoin reçu » correspond bien à un Bitcoin effectivement envoyé par quelqu’un. Vers 04 h 28 UTC, cela n’a pas été le cas. Une opération de réception signée par BridgeV2 a été exécutée avec une instruction mal formée, et le contrat a émis environ 2^62 unités brutes de syBTC vers un portefeuille nouvellement créé sur la BNB Smart Chain. Si l’on fait le calcul décimal, cela représente environ 46 milliards de jetons sur le papier. Un autre outil de surveillance, DefraudTG, a estimé le total émis sur la BNB Chain et Ethereum à 368,9 milliards de syBTC après avoir retracé huit transactions de pont distinctes, un écart qui s’explique probablement par la manière dont chaque service a comptabilisé les unités brutes par rapport aux transferts.

Quelle que soit la quantité réelle émise, le pirate n’a pas cherché à tout écouler. Il en a transféré une partie vers Ethereum et a vendu environ 4,39 WBTC via Uniswap V4, d’où provient le chiffre de 336 000 $. Le reste, estimé à 184,5 milliards de syBTC, se trouve toujours dans le portefeuille BNB Chain de l’exploiteur. C’est cette partie qu’il convient de surveiller de près. Un approvisionnement en jetons d’une telle ampleur n’a aucune couverture réelle, et s’il commence à circuler via des pools de liquidité plutôt que par le biais d’échanges centralisés, les dégâts ne se limiteront pas à ce qui a déjà quitté le protocole.

Réaction de Symbiosis

Symbiosis a confirmé l’incident sur son compte X dans l’heure qui a suivi, indiquant que les swaps liés au BTC avaient été désactivés tandis que les routes ETH et stablecoins restaient actives, et que la liquidité de ces pools avait été vérifiée et était sûre. L’équipe a classé l’événement en interne, et la Delta Incident Archive l’a enregistré sous la référence DCI-2026-304, tandis que DeFiLlama l’a qualifié de « frappe inter-chaînes non garantie », la même catégorie que celle utilisée pour la catastrophe du Liquid Network le mois dernier.

Le dénouement s'est avéré plus encourageant que ne le laissaient présager les premiers chiffres. Symbiosis indique qu’environ 15 BTC ont depuis été récupérés, bien que l’équipe n’ait pas publié de chiffre définitif concernant les pertes et qu’elle soit toujours en train d’élaborer un cadre d’indemnisation directement avec les fournisseurs de liquidités concernés. Le protocole a également lancé une offre de type « white hat »: 20% des fonds récupérés seront versés à l’attaquant s’il restitue le reste avant la date limite du 13 septembre, la même récompense étant proposée à toute autre personne qui aiderait à retrouver la trace de l’argent par la suite. Nul ne sait si cette offre sera acceptée. Les programmes de prime aux bogues de ce type fonctionnent suffisamment souvent pour que les équipes continuent à les proposer, mais échouent aussi souvent pour que personne ne puisse présumer que celui-ci aboutira.

Le problème des ponts ne disparaîtra pas

Symbiosis a fait réaliser par Decurity un audit indépendant de son pont BTC natif, ce genre de détail qui a tendance à être répété après un incident et qui, en soi, n’a que peu d’importance. Les audits vérifient ce que les auditeurs jugent bon de vérifier. Les failles d’authentification des messages comme celle-ci, où le contrat fait confiance à une instruction signée sans valider correctement ce qu’elle dit réellement, font précisément partie de la catégorie des failles qui passent entre les mailles du filet.

Il convient de replacer cela dans son contexte: il s'agit d'un incident de moindre ampleur que la plupart de ceux qui ont fait la une ces derniers temps. TRM Labs a recensé 207 piratages de cryptomonnaies rien qu’au premier semestre 2026, soit le total semestriel le plus élevé jamais enregistré par la société, bien que le montant total des pertes ait en réalité fortement baissé, passant de 2,3 milliards de dollars au premier semestre 2025 à 972 millions de dollars au premier semestre 2026. Le chiffre de 336 000 dollars se situe proche de la perte moyenne pour cette période, qui s’élève à environ 219 000 dollars par incident; le chiffre de 750 000 dollars, s’il se confirme, placerait Symbiosis bien au-dessus de cette moyenne. Ce chiffre a également été publié quelques jours seulement après l’exploitation du réseau Liquid, au cours de laquelle des attaquants ont émis des L-BTC non adossés et détourné environ 320 millions de dollars, soit près de 4 000 des 4 200 BTC du réseau, avant que des « white hats » autoproclamés ne restituent environ 85% de cette somme. Même scénario, mais à une échelle totalement différente. DeFiLlama estime désormais les pertes cumulées liées aux ponts dans l’ensemble du secteur à plus de 3,68 milliards de dollars, et le segment des ponts inter-chaînes de Bitcoin ne dispose plus que d’un peu plus d’un million de dollars de valeur totale verrouillée, parmi lesquels figure le pont BTC de Symbiosis, dont le solde est désormais à zéro pendant la mise en place du correctif.