Bitcoin Bridgeでインシデント、損失総額は9.97 BTC
クロスチェーンプロトコル「シンビオーシス（Symbiosis）」の開発チームが、9月11日に発生したビットコイン・ブリッジ（Bitcoin Bridge）のセキュリティインシデントに関する事後報告（ポストモーテム）を日本時間9月15日に公開した。流動性提供者（LP）と影響を受けたユーザーの損失総額は9.97 BTCだったとのこと。
シンビオーシスは、異なるブロックチェーン間で暗号資産を交換できるクロスチェーンプロトコルだ。今回インシデントが発生したビットコイン・ブリッジでは、利用者がビットコインネットワーク上でビットコイン（BTC）を入金すると、その情報を基に他のブロックチェーン上で利用できるトークン「syBTC」を発行する。
シンビオーシス開発チームの説明では、攻撃は9月11日4:28（UTC、日本時間同日13:28）ごろに発生した。同開発チームはビットコイン関連のスワップを停止し、ビットコイン・ブリッジを他のシステムから隔離した。今回の欠陥はビットコイン・ブリッジに限定され、EVMチェーンやトロン（TRON）、トン（TON）など、その他のルートには影響がなかったとのこと。
その後、同開発チームはチェーンフリップ（Chainflip）とソーチェーン（THORChain）を経由するビットコイン関連のスワップを再開した。ただし、シンビオーシスのビットコイン・ブリッジは停止を継続している。
今回の攻撃で悪用された1つ目の欠陥は、ビットコイン・ブリッジが入金者を識別する処理にあった。同ブリッジは、ビットコインのトランザクションに付加されたデータから送信者を識別する際、資金を使用する側が制御できる部分を参照していた。このため攻撃者は、自身を正規の入金者であると同時に、ポータル管理者であるかのように認識させることができたとのこと。
今回の攻撃で悪用された2つ目の欠陥は、syBTCの発行量を決める手数料処理にあった。管理者として認識された攻撃者は、ポータルの最低手数料を0未満に変更し、マイナスの手数料を設定した入金を実行した。システムは手数料が正の値か負の値かを確認せず、入金額から手数料を差し引いてsyBTCの発行量を計算していた。このため、マイナスの手数料を差し引く処理が実質的な加算となった。
これにより攻撃者は、330サトシ（0.0000033 BTC）の入金から任意量のsyBTCを発行できる状態になった。攻撃者は約4分間にわたり、BSC、イーサリアム（Ethereum）、ルートストック（Rootstock）の3つのブロックチェーンで計12回、この仕組みを悪用した。同開発チームは、2つの欠陥はいずれも単独では今回の攻撃を成立させるには不十分だったと説明している。
ブロックチェーンセキュリティ企業ブロックエイド（Blockaid）は攻撃当日、BNBスマートチェーン（BSC）上のシンビオーシスで進行中の攻撃を検知したと報告した。同社は、約2の62乗のsyBTCの最小単位が新規アドレスに発行されたと説明した。syBTCは小数点以下8桁のため、発行量は約461億syBTCに相当する。また、同じ受益者がイーサリアム上で約4.39 WBTCを売却し、約33万6,000ドル（約5,196万円）を得たことも確認された。
なお、約461億syBTCは不正発行されたトークンの数量であり、同量のBTCが流出したことを意味しない。実際の損失について、シンビオーシス開発チームは事後報告で9.97 BTCと算定している。
約15.2 BTCを退避、影響を受けたユーザーらを補償へ
インシデント発生前のsyBTCの総供給量は約13.91 syBTCで、このうち約11.26 syBTCがBTCB、cbBTC、WBTC、RBTCと組み合わせた流動性プールに存在していた。流動性プールは暗号資産の交換に必要な資産を利用者が預け入れる仕組みで、資産を提供する利用者は流動性提供者（LP）と呼ばれる。
また、ビットコイン・ブリッジから攻撃者へのBTCの払い出しは完了しなかったとのこと。シンビオーシス開発チームはインシデント発生から数時間以内に、ポータルに残っていた約15.2 BTCをリザーブアドレスへ退避した。これは攻撃者から15.2 BTCを取り戻したのではなく、攻撃後もポータルに残っていた資金を別のアドレスへ移したものだ。退避したBTCは、9月15日の事後報告時点で移動されていない。
同開発チームは、盗まれた資金を補償する意向を示した。退避した資金の一部を返還に充てるほか、各LPに個別の補償プランを提示する予定だ。
また同開発チームは当初、攻撃者に対し、資金の20%を報奨金とするホワイトハット・バウンティを提示した。これは資金の返還を促すため、その一部を報奨金として認める提案だ。期限までに攻撃者からの応答がなかったため、現在は資金回収につながる情報を提供した人物に同率の報奨金を提示している。
再発防止に向けて、シンビオーシス開発チームはビットコイン側のロジックを書き直し、独立した監査を実施した後にビットコイン・ブリッジを再稼働する方針だ。さらに、今回影響を受けた部分に限定せず、システム全体の監査も依頼したとのこと。
Symbiosis experienced a security incident. At approximately 04:28 UTC on Sep 11, 2026, attacker exploited a vulnerability in Bitcoin Bridge. BTC routes have been halted. Other routes remain operational and safe.
— Symbiosis (@symbiosis_fi) September 11, 2026
Where we stand:
• Only the Bitcoin Bridge was affected, and it is…
🚨Community alert: Blockaid detected an ongoing exploit on @symbiosis_fi on BSC.
— Blockaid (@blockaid_) September 11, 2026
Signed BridgeV2 receive minted ~2^62 raw syBTC (8 decimals; face value ~46.1B) to a fresh EOA; same beneficiary dumped ~4.39 WBTC on Ethereum Uni V4.
~$336k realized WBTC proceeds so far.
参考：ポストモーテム・シンビオーシス（X）1・シンビオーシス（X）2
画像：PIXTA