Symbiosis stellt Bitcoin-Bridge ein, nachdem ein Angreifer Milliarden gefälschter syBTC geprägt hat

Symbiosis hat in den frühen Morgenstunden des 11. September den Betrieb seiner Bitcoin-Bridge eingestellt, nachdem jemand herausgefunden hatte, wie man das Protokoll dazu bringen kann, zu glauben, es habe Bitcoin erhalten, der nie gesendet wurde. Die Höhe des durch den Diebstahl entstandenen Schadens hängt davon ab, welchen Zahlen man Glauben schenkt. Ein OSINT-Account auf X, „osint_based“, bezifferte den Verlust auf 750.000 US-Dollar. Blockaid, das Sicherheitsunternehmen, das den Angriff in Echtzeit entdeckt hatte, und die Incident-Tracker, die die Daten anschließend aufgriffen, kamen eher auf 336.000 US-Dollar. Keine der beiden Zahlen ist nach den Maßstäben von 2026 enorm, doch die Diskrepanz zwischen ihnen macht deutlich, dass sich in den ersten Stunden nach einem Bridge-Exploit selten eine eindeutige Antwort finden lässt.

Was tatsächlich kaputtging

BridgeV2 ist der Vertrag, der es ermöglicht, natives Bitcoin als syBTC in Symbiosis zu übertragen – ein synthetischer Token, der dazu dient, BTC auf anderen Blockchains eins zu eins nachzubilden. Er stützt sich auf ein Off-Chain-Relayer-Netzwerk, das kettenübergreifende Nachrichten mit MPC-Schwellenwertschlüsseln signiert, und soll überprüfen, ob jede „Bitcoin empfangen“-Nachricht dem Bitcoin entspricht, den jemand tatsächlich gesendet hat. Gegen 04:28 UTC war dies nicht der Fall. Ein signierter BridgeV2-Empfangsvorgang mit einer fehlerhaften Anweisung wurde ausgeführt, und der Vertrag prägte rund 2^62 Roh-Einheiten syBTC an eine neu erstellte Wallet auf der BNB Smart Chain. Rechnet man das um, sind das auf dem Papier etwa 46 Milliarden Token. Ein anderer Monitor, DefraudTG, bezifferte die über die BNB Chain und Ethereum insgesamt geschlagene Menge auf 368,9 Milliarden syBTC, nachdem er acht separate Bridge-Transaktionen nachverfolgt hatte – eine Diskrepanz, die wahrscheinlich darauf zurückzuführen ist, wie die einzelnen Dienste Roh-Einheiten im Vergleich zu Transfers gezählt haben.

Unabhängig vom tatsächlichen Umfang der Prägung hat der Angreifer nicht versucht, die gesamte Menge abzustossen. Er hat einen Teil auf Ethereum übertragen und dort über Uniswap V4 etwa 4,39 WBTC verkauft – daher stammt der Betrag von 336.000 US-Dollar. Der Rest, schätzungsweise 184,5 Milliarden syBTC, befindet sich nach wie vor im BNB-Chain-Wallet des Angreifers. Das ist der Teil, den es im Auge zu behalten gilt. Ein derart großer Token-Bestand verfügt über keine echte Deckung, und sollte er über Liquiditätspools statt über zentralisierte Börsen in Umlauf kommen, wird der Schaden nicht auf das beschränkt bleiben, was das Protokoll bereits verlassen hat.

Die Reaktion von Symbiosis

Symbiosis bestätigte den Vorfall innerhalb einer Stunde auf seinem X-Konto und teilte mit, dass BTC-bezogene Swaps deaktiviert worden seien, während die ETH- und Stablecoin-Routen weiterhin aktiv blieben, und dass die Liquidität in diesen Pools überprüft worden sei und sicher sei. Das Team stufte den Vorfall intern ein, und das Delta Incident Archive protokollierte ihn unter der Nummer DCI-2026-304, wobei DeFiLlama ihn als „unbacked cross-chain mint“ (unbesicherte kettenübergreifende Prägung) kennzeichnete – dieselbe Kategorie, die auch für die Liquid-Network-Katastrophe im letzten Monat verwendet wurde.

Die weiteren Entwicklungen sind ermutigender, als die anfänglichen Zahlen vermuten ließen. Symbiosis gibt an, dass seitdem etwa 15 BTC wiederbeschafft wurden, obwohl das Team noch keine endgültige Verlustsumme veröffentlicht hat und weiterhin direkt mit den betroffenen Liquiditätsanbietern an einem Entschädigungsrahmen arbeitet. Das Protokoll hat zudem ein „White-Hat“-Angebot unterbreitet: 20% der wiedergewonnenen Gelder gehen an den Angreifer, sofern dieser den Rest bis zum Stichtag am 13. September zurückgibt; die gleiche Belohnung winkt jedem, der danach bei der Aufspürung des Geldes hilft. Ob dieses Angebot angenommen wird, bleibt abzuwarten. Bug-Bounty-Angebote wie dieses funktionieren oft genug, dass Teams sie immer wieder anbieten, und scheitern oft genug, dass niemand davon ausgehen sollte, dass dieses Angebot tatsächlich zum Tragen kommt.

Das Problem mit der Bridge verschwindet nicht

Symbiosis ließ seine native BTC-Bridge von Decurity durch ein externes Audit prüfen – eine Information, die oft wiederholt wird, wenn etwas schiefgeht, und für sich genommen selten viel aussagt. Prüfungen überprüfen das, was die Prüfer für wichtig halten. Fehler bei der Nachrichtenauthentifizierung wie dieser, bei denen der Vertrag einer signierten Anweisung vertraut, ohne deren tatsächlichen Inhalt ordnungsgemäß zu validieren, gehören genau zu der Kategorie, die dabei durchrutscht.

Ein wenig Kontext ist hier angebracht: Es handelt sich um ein kleineres Ereignis als die meisten Vorfälle, die in letzter Zeit Schlagzeilen gemacht haben. TRM Labs zählte allein im ersten Halbjahr 2026 207 Krypto-Hacks – die höchste Halbjahreszahl, die das Unternehmen je erfasst hat –, obwohl die Gesamtverluste tatsächlich stark zurückgingen, von 2,3 Milliarden US-Dollar im ersten Halbjahr 2025 auf 972 Millionen US-Dollar im ersten Halbjahr 2026. Der Wert von 336.000 US-Dollar liegt nahe am durchschnittlichen Verlust dieses Zeitraums von rund 219.000 US-Dollar pro Vorfall; sollte sich der Wert von 750.000 US-Dollar bestätigen, würde Symbiosis deutlich darüber liegen. Dies geschah zudem nur wenige Tage nach dem Exploit des Liquid-Netzwerks, bei dem Angreifer ungedeckte L-BTC prägten und rund 320 Millionen US-Dollar – fast 4.000 der 4.200 BTC des Netzwerks – abzogen, bevor selbsternannte „White Hats“ etwa 85% davon zurückgaben. Gleiche Vorgehensweise, völlig anderes Ausmaß. DeFiLlama beziffert die kumulierten Verluste durch Brücken in der gesamten Branche mittlerweile auf über 3,68 Milliarden US-Dollar, und im Segment der Bitcoin-eigenen kettenübergreifenden Brücken verbleibt ein gesicherter Gesamtwert von kaum mehr als einer Million US-Dollar – darunter auch die BTC-Brücke von Symbiosis, die derzeit bei null steht, während an einer Lösung gearbeitet wird.