- Atacante cunhou syBTC equivalente a US$ 46,1 bilhões sem qualquer lastro real
- Venda de 4,39 WBTC rendeu apenas US$ 336 mil ao invasor
- Symbiosis recuperou 15 BTC e ofereceu 20% de recompensa até 13 de setembro
Uma falha na ponte de Bitcoin da Symbiosis permitiu a criação de syBTC sem lastro em volume que, no papel, chegava a US$ 46,1 bilhões. O valor efetivamente convertido em dinheiro real, porém, foi irrisório: US$ 336 mil.
O alerta partiu da Blockaid, plataforma de segurança on-chain, na manhã de sexta-feira. Segundo a empresa, uma chamada assinada ao contrato BridgeV2 gerou cerca de 2^62 unidades brutas de syBTC — o token sintético que deveria representar Bitcoin real — para uma carteira recém-criada.
O destinatário então despejou 4,39 WBTC na Uniswap V4, na rede Ethereum. Foi só o que conseguiu extrair. O restante da emissão era uma montanha de tokens que ninguém compraria, simplesmente porque não havia liquidez capaz de absorver algo desse tamanho.
- Leia também: Uniswap anuncia taxa 0 em swap de stablecoins
A equipe confirmou o incidente na publicação no X. O ataque ocorreu às 04h28 UTC de 11 de setembro de 2026, segundo o comunicado. As rotas de BTC foram suspensas de imediato; os demais caminhos de swap seguiram operando.
Cerca de 15 BTC foram recuperados e transferidos para uma multisig sob controle do time. Ao câmbio atual, com o Bitcoin em US$ 77.182 (R$ 394.461), isso equivale a aproximadamente R$ 5,9 milhões.
O protocolo também abriu negociação direta com o invasor. A oferta: 20% dos fundos como recompensa white-hat, com prazo até 13 de setembro. Passado o prazo, o mesmo percentual valeria para quem entregasse informações que levassem à recuperação dos recursos.
Até a manhã de domingo, nenhum post-mortem técnico havia sido publicado. Também não havia número final de prejuízo nem confirmação pública de que o atacante aceitou o acordo.
Liquid, Nomic e Symbiosis repetem a mesma falha em poucas semanas
O padrão não é novo. Em questão de semanas, três projetos de Bitcoin embrulhado caíram na mesma armadilha conceitual: convencer o sistema a emitir tokens que deveriam representar BTC real sem que o BTC estivesse lá.
A Liquid Network, da Blockstream, perdeu quase 4.000 BTC em episódio semelhante. Parte dos fundos voltou depois de negociação pública, mas a empresa recusou o resgate pelos 598,5 BTC retidos pelo grupo. A Nomic, por sua vez, carregou um buraco contábil despercebido por meses.
Mecanismos diferentes, resultado idêntico. E aqui está o ponto que raramente aparece nos comunicados: a premissa de segurança do Bitcoin não atravessa a ponte junto com a moeda. Quando o BTC vira um token em outra rede, o que sustenta seu valor não é mais a prova de trabalho — é um contrato, uma multisig ou um conjunto de validadores.
Sem relatório técnico, desenvolvedores de outros protocolos ficam sem saber exatamente onde o BridgeV2 falhou. Isso importa porque código de ponte costuma ser reaproveitado entre projetos, e uma vulnerabilidade não documentada tende a reaparecer.
O syBTC restante permanece sem lastro e sem comprador. Já a conta de quem forneceu liquidez aos pares afetados ainda não foi fechada.
