ハッカーが約25セント相当のビットコインを、クロスチェーンDeFiプロトコルSymbiosisのBitcoin Bridgeを悪用することで約460億個の偽BTCトークンに変換したと報じられています。見出しの数字は驚異的ですが、実際の被害を誇張したものです。ミントされたトークンはネイティブのビットコインではなく、同プロトコル自身の暫定数値によれば、実際に危険にさらされている資金は数十億ではなく一桁のBTC規模にとどまります。

25セントのビットコインがどのように460億個の偽BTCトークンになったとされるのか

このインシデントは、プロジェクトの公式事後検証(タイムスタンプは2026年9月14日)によると、2026年9月11日にBitcoin Bridgeが悪用されたSymbiosisに端を発します。

事後検証によれば、攻撃者はわずか330サトシを入金し、それを使ってブリッジのビットコイン代替トークンであるsyBTCを任意の量でミントしました。CoinDeskのインシデント報告によれば、この入金は報告時点の価値で約25セント相当でした。

オンチェーン活動を確認したCoinDeskは、約461億個の無担保syBTCが作成されたと報じています。この見出しの数字は概算のトークン数であり、作成されたネイティブのビットコインでも、盗まれた資でもありません。正確な端数を含む総数は、公開されたトランザクションハッシュと突き合わせてまだ独立検証されていません。

ミントは一度のクリックで行われたわけではありません。Symbiosisによれば、12件の悪意ある入金が約4分の間にBNB Chain(BSC)、Ethereum、Rootstockをまたいで処理され、偽トークンが3つのネットワークに分散しました。

この種のインシデントはDeFiにおいて長い歴史があります。クロスチェーンブリッジは複数のネットワークにまたがるスマートコントラクトでプールされたユーザー資産を保持しており、この構造が歴史的に攻撃者の反復的な標的となってきました。

460億個の偽BTCトークンは460億BTCを意味しない理由

syBTCは、プロトコルの管理下にあるビットコインを表すと称するブリッジトークンであり、ビットコインそのものではありません。ネイティブのビットコインの供給は2,100万枚で上限があり、別のチェーン上のスマートコントラクトのバグによって増発されることはありません。

ブリッジトークンを数十億ミントしても、その裏付けが生まれるわけではありません。Symbiosisによれば、インシデント前に約13.91syBTCの供給を保有し、BTCB、cbBTC、WBTC、RBTCとペアになったプールには11.26syBTCの流動性があり、攻撃者が生成したトークンのごく一部にすぎません。

この乖離こそが要点です。トークンのラベルや膨大な数量だけでは、実際のビットコインの裏付けや実現可能な価値を証明しません。460億syBTCにビットコイン価格を掛けても意味がありません。引き換えにできるビットコインは決してそれほど多く存在しなかったからです。

この混同は、TetherのUSD₮をプライバシー重視のインフラに導入する動きや、Zamaの機密コントラクトによるMorpho vaultへの拡張など、DeFiの他の分野における機密資産やラップド資産をめぐる議論と重なります。ここでは資産の表現と資産そのものは別物です。

攻撃の背後にあった2つのソフトウェア欠陥

Symbiosisは、この攻撃を2つの相互作用的なソフトウェア欠陥に帰しており、いずれも単独では不十分だったとしています。1つ目はデコーダに関するもので、送信者を識別する際に攻撃者制御のトランザクションデータを使用したため、攻撃者が正規の入金者とポータル管理者になりすますことを可能にしました。

2つ目の欠陥は手数料に関するものでした。Symbiosisによれば、攻撃者はポータルの最低手数料をゼロ未満に設定し、未検証のマイナス手数料を差し引くことで入金額が水増しされました。

DeFiブリッジハッキングで依然未検証の事項

Symbiosisは、流動性提供者と影響を受けたユーザーへの暫定損失を9.97BTCとし、CoinDeskはこれを報告時点の価で約77万ドルと説明しています。同プロトコルはこれを暫定推定値であり、独立検証済みの最終損失ではないと位置付けています。

封じ込め対策として、Symbiosisは攻撃者へのビットコイン支払いは完了しなかったこと、また約15.2BTCのポータル資金が数時間以内にリザーブアドレスへ退避させられたことを明らかにしています。退避させたリザーブは安全策であり、ユーザーが実際に補償を受けた証拠ではありません。

影響を受けたユーザーにとっての前向きな見方は、この対応にかかっています。Symbiosisは盗まれた資金を一部リザーブから補填し、流動性提供者に個別の補償プランを提供する意向を示していますが、完了した補償の報告はまだありません。

慎重な見方としては、重要な事実が依然未確定である点が挙げられます。Symbiosisはホワイトハットの期限が回答なしに終了したこと、現在は回復につながる情報に対して20%の報奨金を提供していることを明らかにしていますが、その結果は保証されていません。

同プロトコルは、Bitcoin側のロジックを書き直しており、再稼働前に独立監査を受けること、またシステム全体の監査を委託したことを発表しています。監査結果、再開時期、流動性提供者への最初の支払い完了は注視すべき具体的な指標ですが、いずれもまだ確定していません。

広く流布された一つの見方には慎重であるべきです。事後検証ではAIが一般的にバグ発見のコストを下げていることには触れていますが、この攻撃者がAIを使用したという証拠はなく、そのような主張は確立された事実ではなく未確認の報道に依拠しています。

SymbiosisはXに投稿した事後検証の中で、攻撃が二重のバグによるものであることを自らの言葉でまとめました:

— Symbiosis (@symbiosis_fi) September 14, 2026

出典:X上の@symbiosis_fi

読者への要点は、規模と定義の問題です。460億という数字は偽造されたブリッジトークンの数を示すものであり、実際に危険にさらされている資金は、同プロトコル自身の暫定数値によれば一桁のBTCの範囲にあり、回復と監査はまだ待たれる状況です。

免責事項:本記事は情報提供のみを目的としたものであり、金融または投資に関する助言を構成するものではありません。暗号資産およびデジタル資産市場には重大なリスクが伴います。意思決定の前に必ずご自身で調査を行ってください。