Bei einem Bitcoin Bridge Exploit gegen das Cross-Chain-Protokoll Symbiosis wurden am 11. September 2026 rund 46,1 Milliarden ungedeckte syBTC geprägt. Symbiosis hat inzwischen 15 Bitcoin zurückgeholt und bietet dem Angreifer eine Belohnung von 20 Prozent.
15 Bitcoin wiederhergestellt nach Symbiosis-Exploit
Beim Cross-Chain-Protokoll Symbiosis kam es am Freitag, 11. September 2026, zu einem Bitcoin Bridge Exploit. Ein Angreifer nutzte eine Schwachstelle im BridgeV2-Vertrag auf der BNB Chain und prägte dabei rund 46,1 Milliarden ungedeckte syBTC-Token, das synthetische Abbild von Bitcoin auf der Plattform. Symbiosis hat mittlerweile 15 Bitcoin im Gegenwert von rund 1,15 Mio. US-Dollar zurückgeholt und bietet dem Angreifer für die Rückgabe der restlichen Mittel eine Belohnung von 20 Prozent.
Das Team stoppte nach Bekanntwerden des Bitcoin Bridge Exploit sofort die nativen Bitcoin-Routen und isolierte die betroffene Bridge vom restlichen System. Andere Routen über EVM-Netzwerke, TRON und TON sowie das Produkt Octopools blieben laut Symbiosis durchgehend funktionsfähig.
Betroffene Liquiditätsanbieter werden nach Unternehmensangaben direkt kontaktiert. Ein Kompensationsrahmen befindet sich in Vorbereitung, die genauen Kriterien will Symbiosis separat veröffentlichen.
46 Milliarden syBTC geprägt in einer Transaktion
Die Sicherheitsfirma Blockaid identifizierte den Vorfall und rekonstruierte den Ablauf. Ein einzelner Aufruf des BridgeV2-Vertrags reichte aus, um rund 46,1 Milliarden syBTC an eine neu erstellte Adresse zu senden. Die geprägte Menge übersteigt die feste Bitcoin-Obergrenze von 21 Mio. Einheiten um mehr als das 2.000-fache und war damit von Beginn an vollständig ungedeckt.
Trotz der gewaltigen Menge an geprägten Token gelang es dem Angreifer nur, rund 4,39 Wrapped Bitcoin über Uniswap v4 auf Ethereum zu verkaufen. Der tatsächliche Erlös aus dem Bitcoin Bridge Exploit blieb mit rund 336.000 US-Dollar vergleichsweise gering, weil die übrigen syBTC ohne Marktliquidität wertlos blieben und nicht weiterverkauft werden konnten.
DeFi-Sicherheit scheitert an zentralen Schwachstellen
Der Fall zeigt erneut, dass DeFi Sicherheit oft an einer einzigen Stelle hängt: Ein fehlerhafter Vertrag genügte, um eine Bewertungslücke zwischen realem und synthetischem Bitcoin zu öffnen. Nicht die Knappheit von Bitcoin selbst war das Problem, sondern die zentrale Prüflogik der Bridge, die diese Knappheit auf einer anderen Kette abbilden sollte.
Wer Bitcoin über eine Bridge in ein synthetisches Abbild überführt, tauscht das feste, programmierte Angebot gegen das Vertrauen in einen einzelnen Vertrag und dessen Betreiber ein.
Symbiosis muss nun klären, wie die verbleibenden Liquiditätsanbieter entschädigt werden, während die native Bitcoin-Route bis auf Weiteres gesperrt bleibt.
Wir berichteten über die Liquid-Bridge-Sicherheitslücke, bei der 4.000 Bitcoin entzogen wurden.
