在 2026 年 9 月发生的 Symbiosis 比特币跨链桥漏洞利用事件中，一名攻击者通过一笔 25 美分的比特币存款铸造了约 461 亿枚无背书的 syBTC 代币。该事件并未创造真实的比特币，且报告的实际损失远小于标题中的代币数字。

去中心化金融（DeFi）跨链桥用于在不同区块链之间转移价值。Symbiosis 运营的一条比特币跨链桥于 2026 年 9 月 11 日遭到攻击。CoinDesk 也报道了这一事件。

漏洞利用是如何实施的

根据 Symbiosis 的复盘报告，攻击始于一笔 330 聪的存款。聪是比特币的最小单位，这笔存款价值约 0.25 美元。CoinDesk 审查的区块链数据显示，该存款产生了约 461 亿枚 syBTC——这是一种旨在代表比特币的桥接代币。

Symbiosis 表示，攻击者利用了两项相互配合的软件漏洞。其中一项漏洞使攻击者能够冒充授权存款人和门户管理员；另一项漏洞则将桥接费用降至零以下，从而夸大了铸造的代币数量。当费用进入负值区间后，每笔存款记入的铸造量便超出了应有的水平，这正是不足一美元的输入却能产生数十亿代币数量的原因。

“任何一项漏洞单独存在都不足以造成此次事件，”Symbiosis 在其报告中写道。

此次攻击在多个网络上迅速展开。Symbiosis 表示，12 笔恶意存款在大约四分钟内于 BNB Chain、以太坊以及比特币侧链 Rootstock 上执行。

— Symbiosis (@symbiosis_fi) September 14, 2026

— Symbiosis (@symbiosis_fi) September 14, 2026

来源：X 上的 @symbiosis_fi

为什么 461 亿这一数字并不代表比特币

461 亿这一数字指的是伪造的桥接代币，而非真实的比特币。比特币的总供应量上限仍保持在近 2100 万枚，此次漏洞利用并未改变比特币网络，也未创造真正的 BTC。

由于这些 syBTC 没有背书，代币背后并没有相应数量的比特币作支撑。因此，将 461 亿乘以比特币市场价格只能得到一个名义上的数字，并不能衡量实际损失。

Symbiosis 报告称，事件发生前该跨链桥的总供应量仅约 13.91 枚 syBTC，其中约 11.26 枚 syBTC 作为流动性存放在与 BTCB、cbBTC、WBTC 和 RBTC 等包装比特币资产配对的资金池中。

该协议将用户和流动性提供者的初步损失定为 9.97 BTC。

用户和流动性提供者的初步损失：9.97 BTC

此次漏洞利用并未影响比特币自身的区块链。对于在 Coinbase 等交易所持有少量 BTC 的人来说，该事件涉及的是第三方跨链桥，而非比特币网络本身。

资金回收与尚未确定的细节

部分细节仍基于已报告的区块链分析，而非经过确认的交易记录。确切的 461 亿枚铸造总量以及全部 12 笔交易的细节均来自 CoinDesk 对区块链数据的审查。原始文章称，交易哈希和区块浏览器页面尚未在该处确认，因此这一标题数字应被视为已报告的估计值，而非完全确定的数字。

Symbiosis 表示，向攻击者支付的比特币并未完成。该协议还表示，在漏洞利用发生后的数小时内，已将门户资金中约 15.2 BTC 转移至储备地址。

这些被转移的资金并不一定等同于被追回的被盗资金。Symbiosis 表示，其白帽窗口期在无人回应的情况下结束。因此，其 20% 的悬赏适用于能够促成资金追回的信息。

补偿工作尚未完成。Symbiosis 表示，计划部分利用被转移的比特币以及针对流动性提供者的单独方案来弥补被盗资金。该协议还表示，比特币侧逻辑将被重写并经过独立审计后，跨链桥才会重新开放，同时已委托进行一次全系统审计。目前尚未公布重新开放的时间表，因此已完成的审计、跨链桥的重新上线以及针对流动性提供者的单独方案的落实情况，是值得关注的后续节点。

撰写本文时，比特币交易价格接近 76,416 美元，当日下跌约 2.8%。原始文章称，这一走势与此次跨链桥漏洞利用之间没有确立的关联。

该事件说明了跨链桥铸造的代币数量与支撑它们的底层资产数量之间的差异。在本案中，一笔小额存款产生了大量无背书代币，而报告的损失仍停留在个位数的 BTC 区间。跨链桥可以便利网络之间的转账，但也会带来有别于底层区块链的风险。它们以自身的合约代码托管着汇集的用户资产，这一类 DeFi 基础设施一直是安全事件中反复出现的攻击目标。正因如此，跨链桥逻辑中的漏洞可能在基础链完好无损的情况下，由跨链桥自身的用户和流动性提供者承担损失。

本文仅供参考，不构成财务或投资建议。加密货币和数字资产市场存在重大风险。