Le 11 septembre 2026, vers 04:28 UTC, le pont Bitcoin de Symbiosis lâche. Un contrat, BridgeV2, accepte un message qui ne correspond à aucun dépôt de bitcoin. Il frappe quand même du syBTC, un jeton censé représenter du bitcoin sur d’autres chaînes. Le visage est énorme. Le butin, non.

Blockaid voit l’exploit en cours sur BNB Chain, publie les adresses. À 06:11 UTC, Symbiosis coupe les swaps bitcoin. À 07:17, l’équipe confirme : le « portail BTC » est touché. Les routes EVM, TRON, TON, les Octopools : intacts, dit-elle.

Ce qui a été créé

Sur BNB Chain, une opération signée `receiveRequestV2Signed` crée environ 46,1 milliards de syBTC (8 décimales) vers un compte tout neuf. DeFiLlama classe l’affaire en mint non adossé (DCI-2026-304). D’autres comptages, en agrégeant plusieurs chaînes, donnent un volume minté plus haut. Ce n’est pas une seconde attaque. C’est la même, vue avec une autre règle.

Ces unités ne sont pas du bitcoin. Personne n’allait acheter des dizaines de milliards de synthétiques sans réserve. Seule la poche réellement là, ici du WBTC, pouvait sortir. Le bénéficiaire en vend environ 4,39 sur Uniswap v4, Ethereum. Près de 336 000 dollars. Le schéma rappelle Liquid et Nomic : on gonfle un jeton wrappé, on monétise ce que les pools tiennent.

Ce qui n’a pas bougé

Le reste de la stack continue. Pont isolé. Dans la journée, les swaps bitcoin reprennent via des partenaires : Chainflip, THORChain. Le pont natif reste à l’arrêt. Le 12 septembre, des sorties de syBTC étaient encore possibles dans un sens, alors que les dépôts vers le pont étaient gelés. Un arrêt partiel. Pas une extinction.

Ce que l’équipe dit avoir repris

À 16:04 UTC le 11, Symbiosis annonce environ 15 BTC récupérés, sur un multisig de l’équipe, et une prime white-hat de 20 % jusqu’au 13 septembre. Passé ce délai, la même prime vaut pour quiconque mène à une récupération. Au 14 septembre, la comptabilité définitive n’est pas close. Les hashes de ces 15 bitcoin n’ont pas été publiés de façon à tout vérifier. The Block le relie ainsi : dit, pas encore recoupé.

Pour les fournisseurs de liquidité, 336 000 dollars extraits n’est pas le seul chiffre. Un mint sans réserve casse la parité entre syBTC en circulation et BTC en coffre. L’équipe dit contacter chaque LP touché et préparer un cadre. Au 13-14 septembre, les critères n’étaient pas publics. Aucun post-mortem technique détaillé de BridgeV2 non plus.

Au 14 septembre

Exploit confirmé le 11 à 04:28 UTC. Mint massif de syBTC sans réserve. Extraction réelle d’environ 4,39 WBTC. Routes hors bitcoin opérationnelles. Pont natif toujours en pause. Prime de 20 % reconduite en récompense d’information après le 13. Pas de perte nette close pour les LP. Pas de post-mortem. Pas de conseil d’y remettre des fonds.

Un pont bitcoin dépend d’un message : « le bitcoin est arrivé ». Si le message est accepté à tort, l’offre synthétique n’a plus de lien avec la réserve. Le registre du bitcoin, lui, n’a rien minté.