Une faille logique dans le pont Bitcoin de Symbiosis a permis à un attaquant de frapper 46,1 milliards de jetons syBTC non adossés à partir d’un dépôt initial de seulement 330 satoshis (environ 25 cents). L’exploitation, détectée le 11 septembre 2026, illustre la déconnexion entre la valeur nominale des actifs synthétiques créés et la valeur réellement extractible depuis la liquidité du protocole.
🔑 En bref
- 46,1 milliards de syBTC frappés à partir de 330 satoshis (≈ 0,25 $) sur BNB Chain, Ethereum et Rootstock
- Deux failles logicielles ont permis l’usurpation d’identité du déposant et de l’administrateur du pont
- Pertes effectives estimées entre 336 000 $ (DeFiLlama) et 770 000 $ (Symbiosis)
- Toutes les routes natives Bitcoin du pont ont été suspendues, un audit indépendant est en cours
- Une prime white-hat de 20 % a été proposée à l’attaquant avec échéance au 13 septembre
Chronologie d’une frappe éclair
L’attaque s’est déroulée le 11 septembre 2026 sur trois réseaux simultanément. En l’espace d’environ quatre minutes, l’attaquant a traité 12 dépôts fictifs sur BNB Chain, Ethereum et Rootstock, exploitant les vulnérabilités du pont Bitcoin natif de Symbiosis (BridgeV2).
La firme de sécurité Blockaid a été la première à alerter publiquement la communauté, avant même la confirmation officielle du protocole. Symbiosis a reconnu l’exploitation à 04h28 UTC, suspendant immédiatement toutes les routes natives du pont Bitcoin.
Deux failles en cascade pour usurper le pont
L’exploitation reposait sur l’enchaînement de deux vulnérabilités distinctes. La première concernait la couche d’identification des transactions : le pont examinait la mauvaise partie d’une transaction bitcoin pour déterminer l’expéditeur des fonds, permettant à l’attaquant de se faire passer à la fois pour un déposant approuvé et pour l’administrateur du pont.
Cette usurpation d’identité débloquait un second bug : l’élévation de privilèges permettait de pousser les frais minimums du pont en dessous de zéro. Les frais négatifs étaient ensuite soustraits du montant du dépôt, ce qui avait pour effet de l’augmenter plutôt que de le réduire. Résultat : chaque dépôt de 330 satoshis pouvait être enregistré avec une valeur arbitrairement gonflée.
« L’attaquant ne pouvait extraire de la valeur que sur la liquidité bitcoin réelle disponible de l’autre côté du pont. Frapper des jetons non adossés ne crée pas les actifs réels nécessaires pour les racheter. »
Analyse CoinDesk
| Protocole | Année | Pertes (USD) | Type de faille |
|---|---|---|---|
| Symbiosis Bridge | 2026 | ~770 000 | Frappe non adossée |
| Ronin Bridge | 2022 | >600 millions | Compromission de clés |
| Wormhole | 2022 | 320 millions | Signature fantôme |
| Nomad Bridge | 2022 | ~200 millions | Validation de messages |
46 milliards de valeur nominale, 336 000 dollars réels
L’écart entre la valeur faciale créée et le profit effectivement extrait est considérable. Avant l’attaque, l’offre de syBTC s’élevait à seulement 13,91 jetons, dont 11,26 déposés dans des pools de liquidité appariés avec WBTC, cbBTC, BTCB et RBTC.
L’attaquant n’a pas tenté de vendre des milliards de jetons falsifiés — opération impossible faute de contreparties. Il a opté pour une approche chirurgicale : liquidation d’environ 4,39 WBTC via Uniswap v4 sur Ethereum, pour un produit réel d’environ 336 000 dollars.
Symbiosis a récupéré environ 15 BTC depuis un portefeuille multisig sous son contrôle avant que le pirate ne puisse les extraire. Selon le protocole, les pertes préliminaires s’élèvent à 9,97 BTC (≈ 770 000 $) au moment des faits, un montant supérieur à l’estimation de DeFiLlama (336 000 $), qui correspond uniquement aux liquidations de WBTC observées on-chain.
Réponse du protocole et primes white-hat
Symbiosis a proposé à l’attaquant une prime white-hat de 20 %, équivalente à un cinquième du montant, en échange de la restitution des fonds. La date limite pour accepter l’offre était fixée au 13 septembre 2026.
Le pont Bitcoin natif reste hors ligne pendant que le logiciel côté Bitcoin est réécrit et fait l’objet d’un audit indépendant. Le projet a également commandé un audit plus large du système. La fonctionnalité de swap cross-chain a été redirigée via des partenariats avec Chainflip et THORChain.
Symbiosis prévoit de couvrir les fonds volés en utilisant une partie du bitcoin récupéré pendant l’attaque, ainsi que des arrangements de compensation séparés pour les fournisseurs de liquidité affectés. Selon DeFiLlama, le protocole détient encore environ 8 millions de dollars en TVL (valeur totale verrouillée), avec un volume de pont d’environ 146 millions de dollars sur les 30 derniers jours.
Une tendance de fond pour les ponts cross-chain
L’exploitation de Symbiosis s’inscrit dans une série d’attaques ciblant spécifiquement les ponts cross-chain et les sidechains. Des vulnérabilités similaires avaient déjà été observées sur le Liquid Network et Nomic, confirmant que la frappe de jetons non adossés reste un vecteur d’attaque privilégié.
Le post-mortem publié par Symbiosis souligne un point préoccupant : l’IA générative rend les vulnérabilités logicielles moins coûteuses à découvrir, même si le rapport n’indique pas si l’attaquant a effectivement utilisé de tels outils. À court terme, l’enjeu pour les protocoles DeFi sera de réécrire les couches d’identification des transactions et d’imposer des audits continus plutôt que ponctuels.
Sources
Cet article est publié à titre informatif et éducatif. Il ne constitue en aucun cas un conseil en investissement. Faites vos propres recherches (DYOR) avant toute décision.
