Symbiosisは、Bitcoin Bridgeへの攻撃後に約15 BTCを回収し、攻撃者へ20%のホワイトハット報奨金を提示したと発表した。Blockaidによると、攻撃では約461億syBTCが不正発行された一方、攻撃者が実際に得た収益は約33万6,000ドルにとどまった。
本件は、発行されたトークンの名目数量と、DEXの流動性を通じて現実に換金できる金額が大きく異なることを示した事例だ。SymbiosisはBitcoin Bridgeを停止して調査を続けており、最終損失額と流動性提供者への補償内容は確定していない。
SymbiosisのBitcoin Bridgeで何が起きたのか
海外暗号資産メディアThe Blockによると、クロスチェーン流動性プロトコルのSymbiosisは、Bitcoin Bridgeへの攻撃を受けた後、約15 BTCを回収したと説明した。事件が発生したのは2026年9月11日午前4時28分ごろ（UTC）で、攻撃者はBitcoin Bridgeに存在した脆弱性を悪用したとされる。
Symbiosisは、BTCに関連するクロスチェーンルートを一時停止した。一方、プロジェクト側の説明では、EVM互換チェーン、TRON、TONを利用する他のルートや、クロスチェーン流動性プールであるOctopoolsは影響を受けず、稼働を継続したという。
回収された約15 BTCは、Symbiosisチームが管理するマルチシグウォレットへ移された。ただし、記事公開時点では、どの取引や資産移動によって15 BTCを確保したのか、攻撃者が直接返還した資金が含まれるのかといった詳細は明らかにされていない。したがって「15 BTC回収」を、そのまま被害の全額回復と解釈することはできない。
約461億syBTCが発行されても換金額が限定された理由
ブロックチェーンセキュリティ企業Blockaidの分析としてThe Blockが伝えたところでは、今回の攻撃で約461億syBTCが発行された。syBTCは、Symbiosisのクロスチェーン取引でBTCの価値を別のネットワーク上に表現するために使われるトークンである。
不正発行された数量は極めて大きいが、発行量がそのまま攻撃者の利益になるわけではない。トークンをWBTCやステーブルコインなどの実質的な価値を持つ資産へ交換するには、UniswapなどのDEX、あるいはSymbiosisの流動性プールに十分な交換先資産が必要になる。
Blockaidによると、攻撃者が実際に得た収益は約33万6,000ドルだった。これは、名目上は大量のsyBTCを保有していても、市場で受け入れられる裏付けや流動性がなければ換金できないためだ。攻撃者が大量に売却しようとすれば価格への影響が急拡大し、スリッページや取引停止によって回収可能額はさらに制限される。
この点は、CurveやUniswapを含むAMM型DEXの利用者にも重要である。ウォレットに表示されるトークン数量だけでは資産価値を判断できず、発行元コントラクト、交換可能なプール、実際の流動性、価格への影響を確認する必要がある。
BridgeV2とsyBTCの役割
Symbiosisは、異なるブロックチェーン間の交換を一つの操作として提供するクロスチェーンDEX兼通信プロトコルである。公式ドキュメントでは、オンチェーンのPortalおよびSynthesisコントラクトと、オフチェーンのRelayers Networkを組み合わせてクロスチェーン処理を実行すると説明している。
通常のミント・バーン処理では、Portalがあるチェーン上で資産をロックすると、別チェーン上のSynthesisが対応するトークンを発行する。反対方向では、合成トークンをバーンした後、元のチェーンで資産を解放する。この対応関係が崩れると、裏付け資産のないトークンが発行される可能性がある。
BridgeV2は、PortalやSynthesisとリレイヤーネットワークの間を仲介するコントラクトだ。公式資料によると、リレイヤーから送られるトランザクションはMPC鍵による署名を利用し、BridgeV2がそのcalldataに含まれる指示をオンチェーンで実行する。
今回の報道ではBridgeV2を通じたsyBTCの異常発行が焦点となった。ただし、脆弱性が署名検証、メッセージ内容の検証、アクセス制御、実装上の別の処理のいずれに存在したのかについて、Symbiosisから完全な技術報告はまだ公開されていない。原因を特定の仕組みに断定するには、事後分析や修正版コードの公開を待つ必要がある。
20%のホワイトハット報奨金を提示
Symbiosisは盗まれた資産の追加回収に向け、攻撃者へ20%のホワイトハット報奨金を提示した。期限は2026年9月13日とされ、資金を返還した場合、対象額の一部を報奨金として認める提案だった。
プロジェクト側は、期限後に攻撃者が応じなかった場合、資産回収につながる情報を提供した第三者にも同率の報奨金を提示する方針を示した。DeFiでは、攻撃後に一定割合を報奨金として認め、残額の返還を求める交渉が行われることがある。しかし、提案しただけで返還が成立するとは限らず、法的責任が自動的に免除されるわけでもない。
また、15 BTCの回収と20%の報奨金は別々に評価する必要がある。回収済み資産、攻撃者が換金した資産、未回収資産、流動性提供者が負担する可能性のある不足額を分けなければ、最終的な損失規模は判断できない。
利用者と流動性提供者への影響
Symbiosisは、最終損失額を集計し、影響を受けた流動性提供者へ個別に連絡したうえで補償の枠組みを策定すると説明している。現段階では、補償率、対象資産、支払い方法、実施時期は確定していない。
Bitcoin Bridge以外のルートが稼働しているとしても、それはプロトコル全体の安全性が再確認されたことを意味しない。利用者は、停止対象となっているBTCルートを回避し、Symbiosisの公式アプリや公式SNSで再開告知と事後報告を確認するべきだ。
syBTCを受け取った利用者について、Symbiosisの公式ガイドは、公式WebアプリからBitcoinネットワークへアンラップする方法や、別トークンへ交換する選択肢を案内している。ただし、事件に関連するsyBTCは裏付けや交換可能性が通常と異なるおそれがある。見慣れないsyBTCが突然ウォレットへ届いても、非公式サイトで承認操作を行ってはならない。
流動性提供者は、Octopoolsの残高だけでなく、プールを構成するsTokenの裏付け、出金可否、補償対象となるスナップショット時点を確認したい。Symbiosisを装った返金フォーム、エアドロップ、ウォレット検証サイトにも注意が必要であり、シードフレーズや秘密鍵を入力する場面はない。
クロスチェーンブリッジが抱える構造的リスク
Ethereum、BNB Chain、Bitcoinのように仕様が異なるネットワークを接続するブリッジは、単一チェーン上のDEXより多くの信頼境界を持つ。スマートコントラクトだけでなく、リレイヤー、署名鍵、メッセージ検証、トークン発行、流動性プールが連携するためである。
Symbiosisは、コアコントラクト、Bitcoin Bridge、Octopool、リレイヤーなどに対する監査資料を公式GitHubで公開している。ただし、監査の実施は将来の脆弱性が存在しないことを保証しない。アップグレード後のコード、管理権限、運用設定、外部サービスとの接続部分まで継続的に検証する必要がある。
今回の事件は、異常な量のトークンが発行されても、DEXの流動性が被害拡大を抑える場合があることを示した。一方で、流動性が少なかったことは安全機能ではなく、結果として換金額が限定されたにすぎない。より深い流動性が存在していれば、実現損失が拡大した可能性もある。
利用者側では、ブリッジへ預ける金額を必要最小限にする、長期間資産を置かない、ルート停止やセキュリティ告知を確認する、複数のブリッジへリスクを分散するといった基本対策が有効だ。
まとめ
SymbiosisのBitcoin Bridgeでは、BridgeV2を通じて約461億syBTCが異常発行される攻撃が発生した。Blockaidによれば攻撃者の実現収益は約33万6,000ドルで、Symbiosisは約15 BTCを回収してマルチシグウォレットへ移したと説明している。
同プロジェクトはBTC関連ルートを停止し、攻撃者へ20%のホワイトハット報奨金を提示した。EVMチェーン、TRON、TONのルートやOctopoolsは影響を受けていないとされるが、最終損失額、正確な攻撃原因、流動性提供者への補償条件は未確定である。
利用者は「大量発行された数量」と「実際に換金された価値」を区別し、公式の事後報告、コントラクト修正、BTCルートの再開条件を確認する必要がある。技術報告が出るまでは、未確認の情報を根拠に安全宣言や被害額を断定せず、Bitcoin Bridgeの利用再開を慎重に判断したい。
