Un pirate aurait converti l'équivalent d'environ 25 centimes de bitcoin en environ 46 milliards de faux jetons BTC en exploitant le Bitcoin Bridge de Symbiosis, un protocole DeFi inter-chaînes. Le chiffre marquant est saisissant, mais il exagère les dégâts réels : les jetons émis ne sont pas du bitcoin natif, et l'argent réellement en jeu — selon les chiffres préliminaires du protocole lui-même — se compte en quelques unités de bitcoin plutôt qu'en milliards.

Comment 25 centimes de bitcoin seraient devenus 46 milliards de faux jetons BTC

L'incident remonte à Symbiosis, dont le Bitcoin Bridge a été exploité le 11 septembre 2026, selon la revue post-mortem officielle du projet, datée du 14 septembre 2026.

Selon cette revue post-mortem, l'attaquant n'a déposé que 330 satoshis et les a utilisés pour émettre une quantité arbitraire de syBTC, le jeton représentant le bitcoin du pont. Ce dépôt valait environ 25 centimes à la valeur au moment du rapport, selon le rapport sur l'incident de CoinDesk.

CoinDesk, qui a examiné l'activité on-chain, a rapporté qu'environ 46,1 milliards de syBTC non adossés ont été créés. Ce chiffre est un nombre arrondi de jetons — ce n'est ni du bitcoin natif créé, ni des actifs volés. Le total exact, non arrondi, n'a pas été rapproché de manière indépendante des hachages de transactions publiés.

L'émission n'a pas résulté d'un simple clic. Symbiosis indique que 12 dépôts malveillants ont été traités sur BNB Chain (BSC), Ethereum et Rootstock en environ quatre minutes, propageant les faux jetons sur trois réseaux.

De tels incidents ont une longue histoire dans la DeFi : les ponts inter-chaînes détiennent des actifs mutualisés des utilisateurs dans des contrats intelligents couvrant plusieurs réseaux, une structure qui en a historiquement fait une cible récurrente pour les attaquants.

Pourquoi 46 milliards de faux jetons BTC ne signifient pas 46 de bitcoins

syBTC est un jeton de pont qui prétend représenter du bitcoin détenu sous la garde du protocole — ce n'est pas du bitcoin lui-même. L'offre de bitcoin natif est plafonnée à 21 millions de pièces et ne peut être gonflée par un bug de contrat intelligent sur une autre chaîne.

Émettre des milliards de jetons de pont ne crée pas de garantie pour ceux-ci. Symbiosis rapporte qu'avant l'incident, il détenait environ 13,91 syBTC en circulation, avec 11,26 syBTC de liquidité dans des pools associés à BTCB, cbBTC, WBTC et RBTC — une fraction infime des jetons générés par l'attaquant.

Cet écart est tout l'enjeu : une étiquette de jeton ou une quantité énorme ne démontre pas à elle seule un véritable adossement en bitcoin ni une valeur réalisable. Multiplier 46 milliards de syBTC par le prix du bitcoin n'aurait aucun sens, car il n'y a jamais eu autant de bitcoins à échanger contre.

La confusion reflète les débats sur les actifs confidentiels et « wrapped » ailleurs dans la DeFi — tels que le déploiement par Tether de USD₮ sur une infrastructure axée sur la confidentialité et l'expansion de Zama dans les coffres Morpho avec des contrats confidentiels — où la représentation d'un actif et l'actif lui-même sont deux choses distinctes.

Deux failles logicielles derrière l'exploit

Symbiosis attribue l'exploit à deux failles logicielles interagissant entre elles, dont aucune, selon le protocole, n'aurait suffi à elle seule. La première concernait son décodeur, qui utilisait des données de transaction contrôlées par l'attaquant pour identifier l'expéditeur, permettant à l'attaquant d'usurper l'identité d'un déposant autorisé et de l'administrateur du portail.

La seconde faille concernait les frais. Symbiosis indique que l'attaquant a fixé les frais minimums du portail en dessous de zéro, et la soustraction de frais négatifs non vérifiés a gonflé le dépôt crédité.

Ce qui reste non vérifié concernant le piratage du pont DeFi

Symbiosis chiffre les pertes préliminaires des fournisseurs de liquidité et des utilisateurs concernés à 9,97 BTC, décrit par CoinDesk comme environ 770 000 dollars à la valeur au moment du rapport. Le protocole présente ce chiffre comme une estimation préliminaire, et non comme une perte finale rapprochée de manière indépendante.

En matière de confinement, Symbiosis indique que les paiements en bitcoin à l'attaquant n'ont jamais abouti, et qu'environ 15,2 BTC de fonds du portail ont été mis à l'abri vers des adresses de réserve en quelques heures. Les réserves évacuées sont une mesure de protection, pas la preuve qu'un utilisateur ait déjà été indemnisé.

Le scénario positif pour les utilisateurs concernés repose sur cette réponse. Symbiosis indique avoir l'intention de couvrir les fonds volés, en partie grâce aux réserves évacuées, et de proposer des plans d'indemnisation individuels aux fournisseurs de liquidité — bien qu'il n'ait signalé aucun remboursement achevé.

Le scénario prudent est que des faits clés restent ouverts. Symbiosis indique que sa fenêtre de divulgation par des hackers éthiques s'est fermée sans réponse et qu'une offre de 20 % s'applique désormais aux informations menant à la récupération des fonds, un résultat qui reste loin d'être garanti.

Le protocole indique que sa logique côté Bitcoin est en cours de réécriture et fera l'objet d audit indépendant avant réactivation, et qu'il a commandé un audit complet du système. Ces conclusions d'audit, ainsi qu'une éventuelle date de relance et les premiers paiements achevés aux fournisseurs de liquidité, sont les marqueurs concrets à surveiller — et aucun d'eux n'est encore établi.

Un angle largement relayé doit être traité avec prudence. La revue post-mortem évoque la manière dont l'IA réduit le coût général de découverte de bugs, mais rien ne prouve que cet attaquant ait utilisé l'IA ; une telle affirmation repose sur des rapports non confirmés plutôt que sur des faits établis.

Symbiosis a résumé la nature à double faille de l'exploit, avec ses propres mots, dans la revue post-mortem publiée sur X :

— Symbiosis (@symbiosis_fi) September 14, 2026

Source : @symbiosis_fi sur X

Pour les lecteurs, l'enseignement est une question d'échelle et de définitions. Le chiffre de 46 milliards mesure des jetons de pont fabriqués ; l'argent réellement en risque, selon les chiffres préliminaires du protocole lui-même, se situe dans la fourchette de quelques unités de BTC, la récupération et les audits étant encore en attente.

Avertissement : cet article est fourni à titre informatif uniquement et ne constitue pas un conseil financier ou d'investissement. Les marchés des cryptomonnaies et des actifs numériques comportent des risques importants. Faites toujours vos propres recherches avant de prendre des décisions.