Symbiosis registra prejuízo de US$ 770 mil após invasor cunhar 46,1 bilhões de syBTC

Resumo: Em 11 de setembro de 2026, um invasor conseguiu gerar cerca de 46,1 bilhões de tokens sintéticos syBTC a partir de um depósito inicial de 330 satoshis (US$ 0,25). As perdas preliminares confirmadas pelo protocolo somaram 9,97 BTC (aproximadamente US$ 770 mil). Parte do montante foi convertida pelo atacante, que liquidou 4,39 WBTC por cerca de US$ 336 mil na Uniswap. A equipe da Symbiosis informou que protegeu 15 BTC em uma carteira multisig e manteve a ponte nativa de Bitcoin pausada para submeter o código a uma auditoria externa. Na última sexta-feira, o protocolo crosschain Symbiosis foi alvo de um ataque explorando duas vulnerabilidades que permitiram a criação de bilhões de ativos sintéticos sem lastro. Segundo a Symbiosis, o atacante realizou 12 transações irregulares em apenas 4 minutos, envolvendo BNB Chain, Ethereum e Rootstock, após depositar 330 satoshis (a menor unidade de Bitcoin, avaliada em torno de US$ 0,25 na ocasião). A sequência terminou com a emissão de 46,1 bilhões de syBTC, token sintético projetado para acompanhar depósitos reais de Bitcoin em paridade 1:1 dentro do protocolo. O volume teórico ultrapassou em mais de 2.000 vezes o limite histórico de 21 milhões de moedas da rede Bitcoin. A empresa de cibersegurança Blockaid identificou as transações anômalas em tempo real e emitiu um alerta sobre a criação de ativos direcionados para uma carteira recém-aberta na BNB Chain. Como ocorreu o exploit no contrato BridgeV2 Dados técnicos divulgados pela Symbiosis apontam que a falha resultou da combinação de dois bugs no código do contrato BridgeV2. No primeiro, o sistema analisava a seção errada da transação de entrada na rede Bitcoin para identificar o remetente. No postmortem, a Symbiosis afirma que essa falha fez o sistema interpretar o invasor simultaneamente como depositante autorizado e como administrador da ponte, permitindo reduzir a taxa mínima da ponte para abaixo de zero. O segundo bug tratava a taxa negativa como uma adição matemática, e não como subtração. Indícios da investigação sugerem que esse comportamento aritmético levou o contrato a aceitar valores arbitrários de depósito sem exigir colateral equivalente. Apesar do valor nocional teórico acima de US$ 46 bilhões, o impacto financeiro efetivo ficou limitado pela liquidez disponível em pools de DEX. O hacker encaminhou parte dos fundos para a rede Ethereum e trocou 4,39 WBTC via Uniswap v4, obtendo cerca de US$ 336 mil. Antes do incidente, a oferta circulante de syBTC era de apenas 13,91 unidades, das quais 11,26 estavam alocadas em pools de liquidez compartilhada ao lado de WBTC, cbBTC, BTCB e RBTC. Na terça-feira, 15 de setembro, a DeFiLlama estimou as perdas realizadas em cerca de US$ 336 mil. Já a Symbiosis calculou danos diretos preliminares de 9,97 BTC (aproximadamente US$ 770 mil), distribuídos entre usuários e provedores de liquidez. Após a confirmação do exploit, o protocolo interrompeu imediatamente as rotas diretas na ponte nativa de Bitcoin. As funções de swap em TRON, TON e na rede Ethereum permaneceram operando, com roteamento de transações externas via integrações com THORChain e Chainflip. Na atualização de terça-feira, a equipe técnica informou que 15 BTC foram recuperados e protegidos em uma carteira multisig sob controle do time. A empresa detalhou um plano de compensação para provedores de liquidez afetados e afirmou que a ponte nativa seguirá inativa até a conclusão de uma reescrita completa do software, com verificação por auditoria externa independente.