Symbiosis sufre pérdidas de 770.000 dólares tras la acuñación fraudulenta de 46,1B syBTC

TL;DR: El atacante generó cerca de 46,1 mil millones de tokens sintéticos syBTC a partir de un depósito inicial de 330 satoshis (0,25 dólares) el 11 de septiembre de 2026. El protocolo confirmó pérdidas preliminares de 9,97 BTC (unos 770.000 dólares); el agresor llegó a liquidar 4,39 WBTC por alrededor de 336.000 dólares en Uniswap. El equipo de Symbiosis aseguró 15 BTC en una cartera multifirma y mantuvo pausado su puente nativo de Bitcoin para enviar el código a una auditoría externa. El pasado viernes, el protocolo crosschain Symbiosis fue víctima de un ciberataque derivado de dos vulnerabilidades que permitieron crear miles de millones de activos sintéticos sin respaldo. El atacante depositó 330 satoshis (la unidad más pequeña de Bitcoin, valorada en torno a 0,25 dólares en ese momento) y ejecutó 12 transacciones irregulares entre BNB Chain, Ethereum y Rootstock en apenas 4 minutos. La operación culminó con la emisión de 46,1 mil millones de syBTC, un token sintético diseñado para reflejar depósitos reales de Bitcoin en una proporción 1:1 dentro del protocolo. Ese volumen nocional superó en más de 2.000 veces el límite histórico de 21 millones de monedas de la red Bitcoin. La firma de ciberseguridad Blockaid detectó las transacciones anómalas en tiempo real y lanzó una alerta por la creación de activos dirigida a una cartera recién abierta en BNB Chain. Radiografía del exploit en el contrato BridgeV2 Según datos técnicos de Symbiosis, el fallo se originó por la combinación de dos errores en el código del contrato BridgeV2. En primer lugar, el sistema revisaba una sección incorrecta de la transacción entrante en la red Bitcoin para identificar al remitente. El informe post mortem de Symbiosis indica que esa falla interpretó al atacante a la vez como depositante autorizado y como administrador del puente. Con ese nivel de privilegios, pudo fijar la comisión mínima del puente por debajo de cero. El segundo bug trataba la comisión negativa como una suma matemática en lugar de una resta. Los indicios apuntan a que ese comportamiento aritmético llevó al contrato a aceptar valores de depósito arbitrarios sin exigir colateral equivalente. Aunque el valor nocional teórico superaba los 46.000 millones de dólares, el impacto financiero real quedó limitado por la liquidez disponible en los pools de los exchanges descentralizados. El hacker redirigió parte de los fondos a la red Ethereum e intercambió 4,39 WBTC en Uniswap v4, obteniendo cerca de 336.000 dólares. Antes del incidente, la oferta circulante de syBTC era de solo 13,91 unidades, de las cuales 11,26 estaban asignadas a pools de liquidez compartida junto a WBTC, cbBTC, BTCB y RBTC. A fecha del martes 15 de septiembre, la plataforma de seguimiento DeFiLlama situaba las pérdidas efectivamente realizadas en torno a 336.000 dólares, mientras que las estimaciones preliminares de Symbiosis calculaban daños directos de 9,97 BTC (aproximadamente 770.000 dólares), repartidos entre usuarios y proveedores de liquidez. Tras confirmarse el exploit, el protocolo detuvo de inmediato las rutas directas de su puente nativo de Bitcoin. En paralelo, la funcionalidad de swaps en TRON, TON y la red Ethereum siguió operativa, canalizando transacciones externas mediante integraciones con THORChain y Chainflip. En su actualización del martes, el equipo técnico de Symbiosis informó de que se habían recuperado y asegurado 15 BTC en una cartera multifirma controlada por el equipo. La compañía detalló un plan de compensación para los proveedores de liquidez afectados y anunció que el puente nativo seguirá inactivo hasta completar una reescritura integral del software y validarla mediante una auditoría externa independiente.