Symbiosis 因 33.6 万美元漏洞攻击暂停比特币桥接服务，凸显跨链风险

周五，去中心化流动性协议 Symbiosis 在遭遇针对其 BridgeV2 合约的攻击后，暂停了原生比特币桥接服务。此次攻击利用平台漏洞，使攻击者能够铸造大量无抵押的合成 BTC。尽管涉及规模巨大，但黑客仅提取了价值 33.6 万美元的实际资产。

BTC 桥接漏洞暴露

此次事件并未直接损害比特币本身的安全，而是揭示了支持 BTC 与去中心化金融（DeFi）协议交互的基础设施中存在的安全隐患。该漏洞发生的时间距离 Liquid Network 遭受 3.2 亿美元损失的攻击仅数日，这进一步加剧了市场对于跨链桥接安全性的担忧。

Symbiosis 于 UTC 时间 9 月 11 日凌晨约 04:28 发现比特币桥接攻击的证据，并立即停止了所有 BTC 路由操作。在此期间，其他网络路由仍保持正常运行。

根据 Delta Incident Archive 的记录，此次攻击被归类为 DCI-2026-304。报告显示，BridgeV2 处理了一条错误消息，导致在 BNB Chain 和 Ethereum 上创建了超过 262 个 syBTC。最终，攻击者将其中一小部分余额兑换为约 4.39 个 WBTC（包装比特币），获利约 33.6 万美元。DeFiLlama 将该漏洞利用行为分类为“无抵押跨链铸造”。

迷你词典：包装比特币 (WBTC) —— 一种基于以太坊的 ERC-20 代币，由比特币按 1:1 比例全额支持，允许 BTC 持有者在以太坊生态系统内使用其资产。

跨链消息传递中的安全与信任问题

Symbiosis 的文件说明了该协议对跨链消息安全传输和身份验证的依赖。BridgeV2 合约连接了包括 Portal 和 Synthesis 合约在内的多个组件，并通过一个离线的中继器网络（Relayers Network）运行，该网络使用多方计算（MPC）密钥提交交易。

这种设计允许中继器使用 MPC 阈值签名来锁定 Portal 中的原生比特币，从而在其他区块链上铸造合成资产（如 syBTC）。Symbiosis 表示，其原生 BTC 桥接服务已由区块链安全公司 Decurity 进行了第三方审计。

由于 Symbiosis 高度依赖准确的跨链消息身份验证，错误的指令构成了重大风险。Symbiosis 指出，事故原因是消息验证不准确，这使得在没有真实抵押品支持的情况下恶意铸造合成 BTC 成为可能。

影响及更广泛的 DeFi 桥接风险

虽然此次攻击中合成的数量巨大，但实际被盗的金额仅为约 33.6 万美元。这使得 Symbiosis 的黑客事件成为 2026 年相对较小的 DeFi 桥接漏洞之一。

据区块链情报公司 TRM Labs 统计，2026 年上半年发生了 207 起加密货币黑客攻击，创下历史新高，平均每起事件损失为 21.9 万美元。总损失金额从 2025 年上半年的 23 亿美元下降至 2026 年上半年的 9.72 亿美元。

桥接漏洞仍然是整个生态系统的持久挑战。DeFiLlama 估计与桥接相关的累计损失已达 36.8 亿美元。Symbiosis 将消息认证不足列为此类漏洞的常见来源。

桥接攻击的后果可能会产生连锁反应。例如，银行政策研究所的分析发现，先前桥接漏洞产生的无抵押 rsETH 给借贷平台 Aave 带来了压力，促使用户撤回了 50 亿美元的稳定币，并将借款利率推高至 10%。

迷你词典：Symbiosis —— 一种去中心化的跨链流动性协议，通过使用合成资产桥接，在不依赖中介的情况下实现多个区块链之间的互换和转账。

近期的桥接黑客事件及其后果

Symbiosis 的事件紧随 Liquid Network 一起更为严重的漏洞之后。在那起事件中，攻击者利用交易验证证明中的漏洞窃取了 Liquid Network 4,200 枚 BTC 中的 4,000 枚——价值约 3.2 亿美元。这导致了无抵押 L-BTC 代币的创建，并被兑换为真实的 BTC。

这些资金的大部分，即约 3,400 枚 BTC（占总被盗金额的 85%），后来被攻击者返还。这些攻击者自称为“白帽黑客”。

尽管发生了高调的攻击事件，但 Symbiosis 和 Liquid Network 的漏洞均未损害比特币本身，而是暴露了相关桥接基础设施的弱点。

DeFiLlama 报告显示，比特币跨链桥接协议中的总锁定价值仅为 132 万美元，而 Symbiosis 目前为零。持续的漏洞可能会阻碍投资者在 DeFi 中使用 BTC，从而限制孤立区块链网络内的流动性，并使跨链桥接显得日益高风险。