Um atacante explorou duas vulnerabilidades de software na Bitcoin Bridge da Symbiosis para transformar um depósito de apenas 330 satoshi — a menor unidade do bitcoin — em aproximadamente 46,1 bilhões de tokens syBTC sem lastro. A operação envolveu 12 depósitos fraudulentos processados em cerca de quatro minutos através das redes BNB Chain, Ethereum e Rootstock, segundo post-mortem publicado pela plataforma nesta terça-feira.
A Symbiosis é um serviço de ponte cross-chain que permite aos usuários trocar tokens entre blockchains onde eles originalmente não têm suporte. O token syBTC deveria representar bitcoin mantido pelo sistema, mas as falhas permitiram a criação arbitrária de unidades sem o correspondente lastro em BTC real.
Como funcionou o ataque
A primeira vulnerabilidade estava na forma como a ponte verificava a origem das transações de bitcoin. O sistema olhava para a parte errada da transação ao decidir quem havia enviado os fundos, permitindo que o invasor se fizesse passar simultaneamente por um depositante aprovado e pelo administrador da ponte, de acordo com a Symbiosis.
Esse acesso elevado permitiu ao atacante empurrar a taxa mínima da ponte para valores abaixo de zero. Uma segunda falha de software então subtraía a taxa negativa do valor do depósito — o que, na prática, adicionava ao montante em vez de reduzi-lo. Isso significava que o depósito podia ser tratado como valendo essencialmente qualquer número que o invasor fornecesse.
Os dados de blockchain revisados pela CoinDesk mostram que o atacante conseguiu criar cerca de 46,1 bilhões de syBTC, volume superior a 2.000 vezes o limite máximo de 21 milhões de moedas do Bitcoin.
Prejuízo real e discrepância nos números
Antes do ataque, a oferta de syBTC totalizava apenas 13,91 tokens, com 11,26 syBTC alocados em pools de liquidez pareados com WBTC, cbBTC, BTCB e RBTC. A estimativa preliminar da Symbiosis coloca as perdas para provedores de liquidez e usuários afetados em 9,97 BTC, equivalente a cerca de US$ 770.000.
A grande diferença entre o número de tokens criados e a perda efetiva decorre de uma característica do processo. Cunhar tokens de ponte sem lastro não faz surgir os ativos reais necessários para resgatá-los. O atacante só conseguiu extrair valor da liquidez real em bitcoin que estava disponível do outro lado da ponte.
Segundo dados da DefiLlama, a Symbiosis mantém atualmente cerca de US$ 8 milhões em valor total bloqueado, apesar de ter processado aproximadamente US$ 146 milhões em volume de ponte nos últimos 30 dias completos.
Resposta e medidas corretivas
A Symbiosis informou que planeja cobrir os fundos roubados usando parte do bitcoin evacuado durante o ataque e arranjos separados de compensação para os provedores de liquidez afetados.
A Bitcoin Bridge nativa do projeto permanece offline enquanto o software do lado Bitcoin é reescrito e auditado de forma independente. A Symbiosis também encomendou uma auditoria mais ampla de todo o sistema.
O incidente expõe vulnerabilidades em pontes cross-chain, infraestrutura crítica do ecossistema DeFi que permite a movimentação de ativos entre diferentes blockchains. Falhas de verificação de identidade e tratamento inadequado de valores negativos — erros relativamente básicos de programação — resultaram em uma brecha que multiplicou um depósito ínfimo em bilhões de tokens fraudulentos.
O que isso significa para o investidor
O ataque à Symbiosis reforça os riscos de segurança em pontes DeFi, que seguem sendo um dos alvos preferenciais de invasores no ecossistema cripto. Embora o prejuízo efetivo tenha ficado limitado a 9,97 BTC — cerca de US$ 770.000 — pela própria mecânica das pontes, a facilidade com que falhas de código permitiram a criação de 46 bilhões de tokens falsos acende alerta sobre a maturidade de auditoria e testes nesse segmento.
Para quem opera em DeFi, o episódio sublinha a importância de avaliar o histórico de auditoria das plataformas e a concentração de liquidez. A Symbiosis processou US$ 146 milhões em volume mensal com apenas US$ 8 milhões travados, indicando uso intenso mas baixa retenção — perfil que pode sinalizar menor escrutínio de segurança por parte dos usuários.
A resposta da plataforma — reescrita completa do código, auditoria independente e compromisso de compensação — segue o padrão esperado, mas o tempo de inatividade da ponte afeta usuários que dependem da rota. Investidores com exposição a tokens sintéticos de bitcoin em redes alternativas devem monitorar se outras pontes apresentam vulnerabilidades similares de verificação de origem e tratamento de taxas.
No contexto mais amplo, o incidente ocorre enquanto o Bitcoin opera a US$ 76.042,53 (queda de 2,73% no dia, segundo dados da TradingView de 15 de setembro às 16h27 BRT), em momento de maior volatilidade no mercado cripto. A combinação de preços pressionados e falhas de segurança em infraestrutura DeFi tende a amplificar a aversão a risco, favorecendo custódia direta em detrimento de produtos sintéticos e pontes de menor porte.
Agregado por AAR News · fonte: CoinDesk
Texto reescrito pela redação AAR com assistência de IA · confira a fonte · como produzimos