Symbiosis legde vrijdag zijn native Bitcoin-bridge stil nadat een aanvaller het BridgeV2-contract had uitgebuit om een enorme hoeveelheid ongedekte synthetische BTC aan te maken. De aanvaller wist echter slechts ongeveer $336.000 aan werkelijke waarde te onttrekken. Symbiosis maakte het incident bekend op X.

Het verschil tussen de omvang van de synthetische uitgifte en het gerealiseerde verlies is aanzienlijk. Bitcoin zelf werd niet gecompromitteerd. De kwetsbaarheid trof in plaats daarvan de infrastructuur die BTC naar decentralized finance (DeFi) verplaatst. Het incident vond slechts enkele dagen plaats na een inbreuk op Liquid Network die naar schatting $320 miljoen aan verliezen veroorzaakte. Dat hernieuwde de vragen over de veiligheid van cross-chain-systemen, terwijl het basisnetwerk van Bitcoin onaangetast bleef.

BTC-routes stilgelegd terwijl andere diensten openbleven

Symbiosis zei dat het op 11 september rond 04:28 UTC bewijs vond van de aanval op de Bitcoin Bridge en het BTC-routing onmiddellijk stopzette. Andere routingprotocollen bleven functioneren.

Het Delta Incident Archive classificeerde het incident als DCI-2026-304. Volgens het archief verwerkte BridgeV2 een onjuist bericht, waardoor meer dan 2^62 syBTC werd aangemaakt op BNB Chain en Ethereum.

De aanvaller zette een deel van het illegitieme saldo op Ethereum om in ongeveer 4,39 WBTC en genereerde daarmee circa $336.000 aan opbrengsten. DeFiLlama classificeert het incident als een “Unbacked Cross-Chain Mint.”

Hoe cross-chain-vertrouwen het systeem binnenkomt

De documentatie van Symbiosis beschrijft een bridgearchitectuur die afhankelijk is van de veilige overdracht en authenticatie van cross-chain-berichten.

BridgeV2 verbindt de Portal- en Synthesis-contracten van het protocol met zijn off-chain Relayers Network. De relayers dienen transacties in die zijn ondertekend met een Multi-Party Computation (MPC)-sleutel die in het contract is opgeslagen.

Via MPC-thresholdhandtekeningen wordt native Bitcoin beveiligd in een Portal. Relayers kunnen vervolgens syBTC aanmaken op een andere blockchain, waar het wordt omgezet in het door de gebruiker gewenste activum. Symbiosis heeft gezegd dat Decurity zijn native BTC-bridge heeft geaudit.

Het model is afhankelijk van een correcte authenticatie van instructies die tussen blockchains worden verzonden. In dit incident faalde dat authenticatieproces. Het resultaat laat zien waarom de veiligheid van bridges zowel betrekking heeft op de bewaring van de onderliggende BTC als op de controles die de uitgifte van de cross-chain-weergave ervan regelen.

Massale synthetische uitgifte, beperkt gerealiseerd verlies

De uitgifte van meer dan 2^62 ruwe syBTC mag niet worden verward met het totale gestolen bedrag. Hoewel de uitgifte een enorme boekhoudkundige onbalans creëerde, zette de aanvaller slechts een klein deel van het synthetische saldo om in echte activa. Het geschatte verlies bedraagt ongeveer $336.000.

Dat bedrag plaatst het Symbiosis-incident aan de onderkant van de grote cryptohacks die in 2026 zijn geregistreerd. TRM Labs meldde 207 cryptohacks in de eerste helft van het jaar, het hoogste halfjaarlijkse totaal in zijn geschiedenis. Het gemiddelde verlies bedroeg $219.000. De totale verliezen daalden van $2,3 miljard in de eerste helft van 2025 naar $972 miljoen in de eerste helft van 2026.

Terugkerende storingen in bridge-infrastructuur

De bredere zorg is de frequentie waarmee cross-chain-bridges blijven falen. DeFiLlama schat de totale verliezen door bridge-incidenten op ten minste $3,68 miljard. Symbiosis heeft zwakke berichtauthenticatie aangewezen als een terugkerende oorzaak van bridge-aanvallen.

De gevolgen kunnen verder reiken dan de bridge zelf. Een analyse van het KelpDAO-hack door het Bank Policy Institute stelde vast dat ongedekte rsETH, die door ontoereikende cross-chain-validatie was ontstaan, bijdroeg aan de druk op Aave. Het incident leidde tot de opname van $5 miljard aan stablecoins, terwijl de rente op leningen opliep tot 10%.

Echo's van de inbreuk van $320 miljoen op Liquid Network

De exploit van Symbiosis volgde op een veel grotere storing op Liquid Network. Chainalysis rapporteerde dat zelfbenoemde white-hat-hackers 4.000 van Liquid's 4.200 BTC ter waarde van ongeveer $320 miljoen buitmaakten door misbruik te maken van een defect in gecachte bewijzen voor transactievalidering. De fout maakte de creatie van ongedekte L-BTC mogelijk, die later werd ingewisseld voor echte Bitcoin.

Cryptopolitan meldde eerder deze week dat de hackers 3.400 BTC, oftewel ongeveer 85% van de verloren middelen, hebben teruggegeven.

Geen van beide exploits bracht het onderliggende Bitcoin-netwerk in gevaar. Beide legden zwakke plekken bloot in systemen die eromheen zijn gebouwd.

Voor gebruikers en beheerders zijn de directe aandachtspunten of Symbiosis het BTC-routing hervat en welke wijzigingen het aanbrengt in het berichtauthenticatieproces van BridgeV2. De huidige gegevens benadrukken ook de beperkte omvang van de liquiditeit van Bitcoin-bridges: de Bitcoin cross-chain-bridgedata van DeFiLlama laat voor de sector een totale vergrendelde waarde (TVL) van ongeveer $1,32 miljoen zien, terwijl Symbiosis op $0 staat.

Het probleem beperkt zich niet tot Symbiosis. Voortgezette incidenten kunnen gevolgen hebben voor het verplaatsen van BTC naar DeFi, waardoor liquiditeit in afzonderlijke ecosystemen blijft vastzitten en cross-chain-diensten risicovoller en minder aantrekkelijk lijken.