Symbiosis, perdita da 770mila dollari: un attacker conia 46,1 miliardi di syBTC

Un attacco informatico ha colpito il protocollo cross-chain Symbiosis, causando perdite preliminari pari a 9,97 BTC (circa 770.000 dollari). L'episodio, avvenuto l'11 settembre 2026, è stato reso possibile da due vulnerabilità che hanno consentito la creazione di miliardi di asset sintetici privi di copertura. Secondo la ricostruzione tecnica, l'attacker ha avviato l'operazione con un deposito di 330 satoshi (circa 0,25 dollari) ed è riuscito a effettuare 12 transazioni anomale in appena 4 minuti tra BNB Chain, Ethereum e Rootstock. L'azione si è conclusa con l'emissione di 46,1 miliardi di syBTC, token sintetico progettato per replicare 1:1 i depositi di Bitcoin nel protocollo. Il volume nozionale superava di oltre 2.000 volte il limite storico di 21 milioni di BTC. La società di cybersecurity Blockaid ha intercettato in tempo reale i movimenti irregolari, segnalando la creazione di asset indirizzati a un nuovo wallet su BNB Chain. Dall'analisi del contratto BridgeV2 emerge che il primo bug portava il sistema a verificare una sezione errata della transazione in ingresso sulla rete Bitcoin per identificare il mittente. Nel postmortem, Symbiosis spiega che l'errore ha fatto sì che l'attacker venisse interpretato contemporaneamente come depositante autorizzato e amministratore del bridge, ottenendo così privilegi sufficienti per impostare la commissione minima del bridge sotto lo zero. Un secondo bug, a quel punto, trattava la fee negativa come un'addizione anziché come una sottrazione: un comportamento aritmetico che avrebbe permesso al contratto di accettare valori di deposito arbitrari senza richiedere collaterale equivalente. Nonostante il valore teorico dell'exploit superasse i 46 miliardi di dollari, l'impatto economico effettivo è stato limitato dalla liquidità disponibile nelle pool dei DEX. L'hacker ha instradato parte dei fondi su Ethereum e ha scambiato 4,39 WBTC su Uniswap v4, incassando circa 336.000 dollari. Prima dell'incidente, l'offerta circolante di syBTC era pari a 13,91 unità; 11,26 risultavano allocate in pool di liquidità condivise con WBTC, cbBTC, BTCB e RBTC. Alla data di martedì 15 settembre, DeFiLlama stimava le perdite realizzate intorno a 336.000 dollari, mentre Symbiosis indicava danni diretti preliminari pari a 9,97 BTC (circa 770.000 dollari), ripartiti tra utenti e liquidity provider. Dopo la conferma dell'exploit, il protocollo ha sospeso immediatamente i percorsi diretti sul bridge nativo di Bitcoin. Restano operative le funzioni di swap su TRON, TON ed Ethereum, con instradamento delle transazioni esterne tramite integrazioni con THORChain e Chainflip. Nell'aggiornamento di martedì, il team tecnico ha comunicato di aver recuperato e messo in sicurezza 15 BTC in un wallet multisig sotto controllo della società. Symbiosis ha inoltre delineato un piano di compensazione per i liquidity provider coinvolti e ha annunciato che il bridge nativo resterà inattivo finché non sarà completata una riscrittura integrale del software, seguita da una verifica tramite audit esterno indipendente.