ハッカーが2026年9月のSymbiosis Bitcoin Bridgeエクスプロイトにおいて、0.25ドルのビットコイン預け入れを利用して約461億の無担保syBTCトークンを鋳造しました。このインシデントで実在のビットコインが生成されたわけではなく、報告された損失は見出し上のトークン額が示す規模よりはるかに小さいものでした。

分散型金融（DeFi）ブリッジは、異なるブロックチェーン間で価値を移動するツールです。Symbiosisが運営するビットコインブリッジが2026年9月11日に悪用されました。このインシデントはCoinDeskでも報じられています。

エクスプロイトの仕組み

攻撃は、Symbiosisの事後検証によると約0.25ドル相当の330サトシ（ビットコインの最小単位）の預け入れから始まりました。CoinDeskが確認したブロックチェーンデータによれば、この預け入れは約461億のsyBTC（ビットコインを表すために設計されたブリッジトークン）を生成しました。

Symbiosisによると、攻撃者は連動して機能する2つのソフトウェア脆弱性を悪用しました。1つは権限ある預入者およびポータル管理者になりすますことを可能にするもの、もう1つはブリッジ手数料をゼロ未満に引き下げ、鋳造されるトークン量を水増しするものでした。手数料がマイナスになったことで、各預け入れに対して付与される鋳造量が本来あるべき額を超えて増加し、1ドル未満の入力が数十億単位のトークンを生み出す結果となりました。

「いずれの脆弱性も単では不十分でした」とSymbiosisは報告書に記しています。

攻撃は複数のネットワークにまたがり急速に展開しました。Symbiosisによると、12件の悪意ある預け入れが、ビットコインのサイドチェーンであるRootstockを含むBNB Chain、Ethereum、Rootstock上で約4分間にわたり実行されました。

— Symbiosis (@symbiosis_fi) September 14, 2026

— Symbiosis (@symbiosis_fi) September 14, 2026

出典：X上の@symbiosis_fi

461億という数字が実在のビットコインを意味しない理由

461億という数字は偽のブリッジトークンを指しており、実在のビットコインではありません。ビットコインの総供給量は約2,100万枚で上限に固定されており、このエクスプロイトによってビットコインネットワークが改変されたり、本物のBTCが生成されたりすることはありませんでした。

syBTCは無担保であったため、トークンの裏付けとなるビットコインは存在しませんでした。したがって、461億にビットコインの市場価格を掛けても、損失の実測値ではなく名目上の数字が算出されるだけです。

Symbiosisによると、インシデント発生時点でブリッジの総供給量は約13.91 syBTCのみでした。そのうち約11.26 syBTCが、BTCB、cbBTC、WBTC、RBTCなどのラップ型ビットコイン資産とペアとなったプールの流動性として保有されていました。

同プロトコルは、ユーザーおよび流動性提供者の暫定損失を9.97 BTCと発表しました。

ユーザーおよび流動性提供者の暫定損失：9.97 BTC

このエクスプロイトはビットコインのブロックチェーン自体には影響しませんでした。Coinbaseなどの取引所でBTCを保有する人にとって、このインシデントはビットコインネットワークそのものではなく、サードパーティのブリッジに関するものでした。

復旧状況と残る不確実性

一部の詳細は、確認済みの取引記録ではなく報告されたブロックチェーン分析に基づいています。正確な461億の鋳造総額および12件すべての取引の詳細は、CoinDeskによるブロックチェーンデータの調査に由来します。元記事によれば、取引ハッシュやエクスプローラーページは同記事では確認されておらず、この見出し上の数字は確定した数値ではなく報告された推定値として扱うべきです。

Symbiosisによると、攻撃者へのビットコイン送金は完了しませんでした。また、同プロトコルはエクスプロイトから数時間以内に、ポータル資金約15.2 BTCをリザーブアドレスへ移動させたと述べています。

これらの退避資金は、回収された盗難資金と同一であるとは限りません。Symbiosisは、ホワイトハットの窗口期が応答なく終了したと述べており、20%の報奨金は回収につながる情報に対して適用されます。

補償は完了していません。Symbiosisは、盗難資金を退避させたビットコインおよび流動性提供者ごとの個別プランで部分的にカバーする意向を示しています。また、ブリッジ再開前にビットコイン側のロジックを書き直し独立監査を行うほか、システム全体の監査も委託済みと述べています。再開の日程は発表されておらず、監査の完了、ブリッジの再開、個別の流動性提供者プランの実施が注目すべき節目となります。

ビットコインは執筆時点で約76,416ドル近くで取引されており、当日は約2.8%下落しました。元記事によれば、この値動きとブリッジエクスプロイトとの間に確立された関連はありません。

このインシデントは、ブリッジが鋳造するトークンの数量と、その裏付けとなる基礎資産の額との違いを示しています。今回の場合、少額の預け入れが大量の無担保トークンを生み出した一方で、報告された損失は1桁のBTCにとどまりました。ブリッジはネットワーク間の送金を容易にする一方、基盤となるブロックチェーンとは別のリスクをもたらします。ブリッジはユーザー資産をプールして独自のコントラクトコード下で管理しており、この種のDeFiインフラはセキュリティインシデントで繰り返し標的となってきたため、ブリッジロジックの欠陥が基盤チェーンに影響を与えないまま、ブリッジ自身のユーザーと流動性提供者が損失を負う事態になり得るのです。

本記事は情報提供のみを目的としたものであり、金融または投資に関する助言を構成するものではありません。暗号資産およびデジタル資産市場には重大なリスクが伴います。