Symbiosis, un protocole de liquidité inter-chaînes, a déclaré avoir récupéré environ 15 BTC après l’exploitation de son pont Bitcoin et aurait proposé à l’attaquant une prime de 20 % pour restituer les fonds restants. Cet incident constitue le dernier en date parmi les défaillances de sécurité touchant les ponts et vise à déterminer si des incitations de type white hat peuvent contribuer à récupérer des cryptomonnaies volées sans intervention des autorités.

Symbiosis a reconnu l’incident de sécurité vers 04:28 UTC le 11 septembre 2026 et a indiqué avoir interrompu les routes BTC, tandis que les autres routes restaient opérationnelles. Le protocole a déclaré que les routes non liées au BTC n’étaient pas affectées et que la liquidité de ses pools en ETH et en stablecoins était sûre. Cette évaluation reste une affirmation de l’équipe et n’a pas été vérifiée indépendamment au moyen d’un test opérationnel. Le compte X de Symbiosis est disponible à l’adresse https://x.com/symbiosis_fi.

Selon un article non confirmé de Crypto Briefing, Symbiosis aurait récupéré environ 15 BTC et placé les fonds dans un portefeuille multisignature. L’article est disponible à l’adresse Aucun hash de transaction de récupération ni aucune adresse de conservation n’a été vérifié indépendamment, et la déclaration officielle récupérée était tronquée.

Ce que l’on sait de la récupération rapportée

La récupération d’environ 15 BTC ne permet pas d’établir le montant total perdu ni de confirmer que tous les fonds affectés ont été récupérés. Une source unique a rapporté qu’une vulnérabilité de BridgeV2 avait permis la création de syBTC non garantis. L’attaquant aurait converti environ 4.39 WBTC sur Ethereum via Uniswap V4. Toutefois, les hash de transaction, les décimales des tokens et la répartition entre le produit de l’attaquant et la perte nette restent invérifiés.

Symbiosis a annoncé pour la première fois son pont Bitcoin natif dans un article de lancement daté du 23 septembre 2024 : L’article décrivait un pont bidirectionnel reliant Bitcoin aux réseaux Ethereum Virtual Machine au moyen d’un BTC Portal, d’un Relayers Network, de syBTC sur ZKsync Era et d’un BTC Forwarder. Cette architecture reposant sur des relais et des actifs enveloppés semble être la partie du système mise à l’épreuve par l’incident.

Les ponts inter-chaînes sont fréquemment ciblés dans les cryptomonnaies, car ils concentrent la conservation d’actifs enveloppés derrière des smart contracts et des ensembles de relais. Cela crée un problème de minimisation de la confiance lorsque la valeur circule entre des environnements d’exécution distincts. Ce schéma rappelle également la manière dont Blockstream a géré une exploitation de Liquid, lorsque l’entreprise a rejeté une demande de rançon plutôt que de négocier une restitution.

Au moment de l’instantané de marché cité, le Bitcoin s’échangeait à $76,763, en baisse d’environ 0.57 % sur la journée, pour une capitalisation proche de $1.54 trillion. L’indice Crypto Fear \u0026 Greed s’établissait à 61, dans la zone Greed. Ces chiffres fournissent uniquement un contexte et n’établissent aucun lien de causalité entre l’exploitation et le cours du Bitcoin ou les conditions générales du marché.

Symbiosis aurait proposé une prime de 20 %

Selon l’article non confirmé de Crypto Briefing, Symbiosis aurait proposé à l’attaquant une prime de 20 % sur les fonds restitués et fixé une échéance au 13 septembre 2026, après laquelle une prime pour les informations permettant la récupération pourrait s’appliquer. Il n’a pas été établi que l’offre a été acceptée ou payée, et son statut actuel demeure inconnu.

Les informations disponibles ne précisent pas clairement la base à laquelle s’applique le taux de 20 %, le fuseau horaire de l’échéance ni les conditions liées à l’offre. Elles n’établissent pas non plus que l’offre a provoqué la récupération rapportée. Une prime proposée ne confère pas à elle seule une immunité juridique, et aucune intervention d’un régulateur, aucun accord transactionnel ni aucune action des autorités n’a été vérifié en lien avec l’incident.

L’offre spécifique à cet incident est distincte du programme permanent de bug bounty de Symbiosis sur Immunefi, qui prévoit une récompense forfaitaire de $100,000 pour les vulnérabilités critiques des smart contracts, est actif depuis le 18 août 2022 et exige une preuve de concept. Rien n’indique que l’attaquant puisse bénéficier de ce programme publié :

Pour les marchés décentralisés de l’IA et de l’informatique, qui dépendent de plus en plus du règlement inter-chaînes pour évaluer le temps GPU et acheminer les paiements aux agents, l’incident met en évidence les risques concentrés dans les infrastructures de wrapping et de relais. Tant que Symbiosis n’aura pas publié une analyse post-incident complète, accompagnée de preuves de récupération liées à des explorateurs et de conditions confirmées concernant la prime, la récupération comme l’offre resteront rapportées plutôt qu’établies.

Source : https://aicryptocore.com/symbiosis-bitcoin-bridge-exploit-15-btc-recovery

Avertissement : Cet article est fourni à titre informatif uniquement et ne constitue pas un conseil financier ou un conseil en investissement. Les marchés des cryptomonnaies et des actifs numériques comportent des risques importants. Effectuez toujours vos propres recherches avant de prendre une décision.