Symbiosis 比特币桥被凭空印出 461 亿枚 syBTC，黑客只卷走 33.6 万美元

黑客一口气印出了比特币总量两千多倍的「比特币」，最后换到手的钱，还不够在旧金山买一套一居室。

三个关键信息

9 月 11 日凌晨 4:28（UTC），Symbiosis 比特币桥被攻破，约 461 亿枚 syBTC 被凭空铸造。 漏洞出在 BNB Chain 上的 BridgeV2 合约，攻击者绕过了铸币校验，直接给自己印出了跨链凭证 syBTC——数量约为比特币总供应量的 2000 多倍。

真正变现的只有约 4.39 枚 WBTC，折合约 33.6 万美元。 攻击者把假币拿到以太坊上的 Uniswap 砸盘，但池子里的真资产有限，海量假币换不出几个真币。团队称已追回约 15 枚 BTC（约 115 万美元），存入团队控制的多签钱包。

Symbiosis 给出 20% 白帽赏金，期限到 9 月 13 日。 过期后同样比例转给提供线索、帮助追回资金的人。项目方第一时间暂停比特币路由，并与 EVM 链、TRON、TON 等其他路由隔离；原生桥修复期间，比特币兑换临时交给 Chainflip 和 THORChain 承接。

王斗视角

461 亿枚比特币，换了 33.6 万美元——这像是有人印了一万亿假美元，冲进便利店，结果收银机里只有三百块现金。救了 Symbiosis 的不是审计报告，不是风控系统，是池子太浅。

这件事最该让人后背发凉的地方在于：一个跨链桥的铸币函数，居然没有一道「印出来的数量不能超过锁进去的数量」的硬校验。这是跨链桥的第一原则，好比银行金库的门没装锁，只是碰巧门口没人经过。

白帽赏金 20%、限期三天，这套剧本业内已经演了无数遍，翻译过来就是：你拿走的我们认栽，剩下的给个面子还回来。如果这次池子深一点，今天的标题就不是 33.6 万，而是一个九位数。

来源：Parameter · CoinCentral