Ein Hacker soll durch die Ausnutzung der Bitcoin Bridge von Symbiosis, einem Cross-Chain-DeFi-Protokoll, Bitcoin im Wert von etwa 25 Cent in rund 46 Milliarden gefälschte BTC-Token umgewandelt haben. Die Schlagzahl ist erstaunlich, aber sie überzeichnet den tatsächlichen Schaden: Die geprägten Token sind kein nativer Bitcoin, und das tatsächlich gefährdete Geld liegt – nach den eigenen vorläufigen Zahlen des Protokolls – im einstelligen BTC-Bereich und nicht im Milliardenbereich.

Wie aus 25 Cent in Bitcoin angeblich 46 Milliarden gefälschte BTC-Token wurden

Der Vorfall geht auf Symbiosis zurück, deren Bitcoin Bridge am 11. September 2026 ausgenutzt wurde, wie aus dem offiziellen Post-Mortem des Projekts hervorgeht, das auf den 14. September 2026 datiert ist.

Laut dem Post-Mortem zahlte der Angreifer lediglich 330 Satoshi ein und nutzte diese, um eine beliebige Menge an syBTC zu prägen, dem Bitcoin repräsentierenden Token der Bridge. Diese Einzahlung hatte zum Berichtszeitpunkt einen Wert von etwa 25 Cent, wie aus dem Vorfallbericht von CoinDesk hervorgeht.

CoinDesk, das die On-Chain-Aktivitäten überprüft hat, berichtete, dass rund 46,1 Milliarden ungedeckte syBTC geschaffen wurden. Diese Schlagzahl ist eine gerundete Token-Anzahl – weder geschaffener nativer Bitcoin noch gestohlene Vermögenswerte. Der genaue, ungerundete Gesamtwert wurde bisher nicht unabhängig mit den veröffentlichten Transaktions-Hashes abgeglichen.

Das Prägen geschah nicht mit einem einzigen Klick. Symbiosis zufolge wurden 12 bösartige Einzahlungen über BNB Chain (BSC), Ethereum und Rootstock in etwa vier Minuten verarbeitet, wodurch sich die gefälschten Token über drei Netzwerke verteilten.

Solcheorfälle haben in DeFi eine lange Geschichte: Cross-Chain-Bridges halten gebündelte Nutzer Vermögenswerte in Smart Contracts über mehrere Netzwerke hinweg – eine Struktur, die sie historisch zu einem wiederkehrenden Ziel von Angreifern gemacht hat.

Warum 46 Milliarden gefälschte BTC-Token nicht 46 Milliarden Bitcoin bedeuten

syBTC ist ein Bridge-Token, der angeblich Bitcoin repräsentiert, das sich in der Verwahrung des Protokolls befindet – er ist nicht der Bitcoin selbst. Das Angebot an nativem Bitcoin ist auf 21 Millionen Münzen begrenzt und kann durch einen Smart-Contract-Fehler auf einer anderen Chain nicht aufgebläht werden.

Das Prägen von Milliarden eines Bridge-Tokens beschert diesem keine Deckung. Symbiosis berichtet, dass es vor dem Vorfall rund 13,91 syBTC im Umlauf hielt, mit 11,26 syBTC an Liquidität in Pools, gepaart mit BTCB, cbBTC, WBTC und RBTC – ein winziger Bruchteil der vom Angreifer erzeugten Token.

Diese Lücke ist der Kern der Sache: Eine Token-Bezeichnung oder eine enorme Menge allein belegt keine echte Bitcoin-Deckung oder realisierbaren Wert. 46 Milliarden syBTC mit dem Bitcoin-Kurs zu multiplizieren wäre bedeutungslos, denn es gab nie annähernd so viel Bitcoin, gegen den man sie einlösen könnte.

Die Verwirrung spiegelt Debatten über vertrauliche und Wrapped-Assets anderswo in DeFi wider – etwa Tethers Schritt, USD₮ auf datenschutzorientierte Infrastruktur zu bringen, und Zamas Expansion in Morpho-Vaults mit vertraulichen Verträgen – bei denen die Repräsentation eines Vermögenswerts und der Vermögenswert selbst unterschiedliche Dinge sind.

Zwei Software-Schwachstellen hinter dem Exploit

Symbiosis führt den Exploit auf zwei sich gegenseitig verstärkende Software-Schwachstellen zurück, von denen keine einzige nach eigenen Angaben allein ausreichend gewesen wäre. Die erste betraf den Decoder, der Angreifer-kontrollierte Transaktionsdaten zur Identifizierung des Absenders verwendete, sodass der Angreifer einen autorisierten Einzahler und den Portal-Administrator imitieren konnte.

Die zweite Schwachstelle betraf Gebühren. Symbiosis zufolge setzte der Angreifer die minimale Portal-Gebühr unter null, und die Subtraktion einer ungeprüften negativen Gebühr blähte die gutgeschriebene Einzahlung auf.

Was beim DeFi-Bridge-Hack weiterhin unbestätigt bleibt

Symbiosis beziffert die vorläufigen Verluste für Liquiditätsanbieter und betroffene Nutzer auf 9,97 BTC, was von CoinDesk mit etwa 770.000 US-Dollar zum Berichtszeitpunkt beziffert wird. Das Protokoll stellt dies als vorläufige Schätzung dar, nicht als einen unabhängig abgeglichenen Endverlust.

Zur Eindämmung erklärt Symbiosis, dass Bitcoin-Auszahlungen an den Angreifer nie abgeschlossen wurden und rund 15,2 BTC an Portal-Mitteln innerhalb weniger Stunden auf Reserve-Adressen verlag wurden. Evakuierte Reserven sind eine Schutzmaßnahme, kein Beweis dafür, dass ein Nutzer bereits entschädigt wurde.

Der positive Fall für betroffene Nutzer stützt sich auf diese Reaktion. Symbiosis erklärt, es beabsichtige, die gestohlenen Mittel zu decken, teilweise aus den evakuierten Reserven, und Liquiditätsanbietern individuelle Entschädigungspläne anzubieten – allerdings hat es noch keine abgeschlossene Rückerstattung gemeldet.

Der vorsichtige Fall ist, dass zentrale Fakten weiterhin offen sind. Symbiosis teilt mit, dass das White-Hat-Frist ohne Reaktion verstrichen ist und nun ein Angebot von 20 % für Informationen gilt, die zur Wiederbeschaffung führen – ein Ausgang, der keineswegs garantiert ist.

Das Protokoll erklärt, seine Bitcoin-seitige Logik werde neu geschrieben und erhalte vor der Reaktivierung ein unabhängiges Audit; zudem habe es ein Systemaudit in Auftrag gegeben. Diese Audit-Ergebnisse zusammen mit einem möglichen Relaunch-Termin und den ersten abgeschlossenen Auszahlungen an Liquiditätsanbieter sind die konkreten Markierungssteine – und keiner davon ist bisher erreicht.

Ein weit verbreiteter Aspekt sollte mit Vorsicht behandelt werden. Das Post-Mortem erörtert, wie KI generell die Kosten für das Auffinden von Fehlern senkt, aber es gibt keinen Beweis dafür, dass dieser Angreifer KI verwendete; eine solche Behauptung stützt sich auf unbestätigte Berichte und nicht auf gesicherte Fakten.

Symbiosis fasste die Natur des Exploits mit zwei Schwachstellen in eigenen Worten im auf X veröffentlichten Post-Mortem zusammen:

— Symbiosis (@symbiosis_fi) September 14, 2026

Quelle: @symbiosis_fi auf X

Für Leser ist die Erkenntnis eine Frage der Größenordnung und der Definitionen. Die Zahl von 46 Milliarden misst gefälschte Bridge-Token; das tatsächlich gefährdete Geld liegt, nach den eigenen vorläufigen Zahlen des Protokolls, im einstelligen BTC-Bereich – Wiederbeschaffung und Audits stehen noch aus.

Hinweis: Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Finanz- oder Anlageberatung dar. Kryptowährungs- und Digitale-Asset-Märkte bergen erhebliche Risiken. Führen Sie immer Ihre eigene Recherche durch, bevor Sie Entscheidungen treffen.