- Symbiosis recuperou cerca de 15 BTC após exploit na ponte de Bitcoin
- Contrato na BNB Chain emitiu 46,1 bilhões de syBTC sem lastro
- Atacante converteu apenas 4,39 WBTC, gerando US$ 336 mil
O protocolo de liquidez cross-chain Symbiosis recuperou aproximadamente 15 BTC depois do ataque que atingiu sua ponte de Bitcoin em 11 de setembro. Os fundos foram transferidos para uma carteira multisig sob controle da equipe.
O incidente começou por volta das 04h28 (UTC), quando o atacante explorou uma vulnerabilidade no Bitcoin Bridge. Segundo o time, apenas esse componente foi comprometido — rotas envolvendo redes EVM, TRON e TON seguiram operando, assim como o produto Octopools e a rede de relayers.
Ainda não há número final de prejuízo. A contabilidade segue em aberto enquanto o protocolo contata os provedores de liquidez atingidos.
Bounty de 20% vence em 13 de setembro
Symbiosis ofereceu ao invasor uma recompensa white-hat equivalente a 20% dos fundos, condicionada à devolução do restante até 13 de setembro. Passado o prazo, o mesmo percentual passa a valer para qualquer pessoa que forneça informações capazes de levar à recuperação dos ativos.
É o roteiro padrão do setor. Funciona às vezes — e às vezes vira negociação pública constrangedora, como no caso recente da Liquid Network.
Enquanto a ponte própria permanece isolada, os swaps de Bitcoin voltaram a funcionar via integrações de terceiros com Chainflip e THORChain. Usuários mantêm acesso à rota, mas por infraestrutura externa.
A empresa de segurança Blockaid identificou o tamanho real da emissão. Uma chamada ao contrato BridgeV2 na BNB Chain resultou na criação de aproximadamente 46,1 bilhões de syBTC, enviados para um endereço recém-criado.
O número supera em mais de 2.000 vezes o supply máximo do Bitcoin, fixado em 21 milhões de unidades. Vale a distinção técnica: são tokens sintéticos gerados pelo contrato da ponte, não BTC novo na rede original. A escassez do protocolo de Satoshi permanece intacta.
O contraste entre emissão e ganho real é o dado mais relevante. Conforme a publicação da Blockaid no X, o endereço beneficiário conseguiu vender apenas cerca de 4,39 WBTC na Uniswap v4, em Ethereum, realizando aproximadamente US$ 336 mil — algo em torno de R$ 1,72 milhão pela cotação atual do dólar, em R$ 5,11. A DefiLlama classificou o episódio como “mint cross-chain sem lastro” e registrou perda no mesmo patamar.
Com o BTC negociado a US$ 77.709 (R$ 397.155), os 15 BTC recuperados valem cerca de US$ 1,16 milhão — múltiplas vezes o valor efetivamente extraído pelo atacante.
Liquidez fina limita ganho em ataques a pontes
O padrão se repete. Criar tokens sem lastro é relativamente simples quando há falha de controle de acesso; convertê-los em ativos líquidos é o gargalo. Pools rasas, slippage e monitoramento on-chain em tempo real transformam bilhões teóricos em centenas de milhares de dólares reais.
Dias antes, na Liquid Network da Blockstream, um invasor criou cerca de 4.000 L-BTC sem lastro e resgatou o equivalente em Bitcoin da rede. Depois da correção dos nós afetados, 3.400 BTC foram devolvidos e 598,5 BTC seguiram em aberto — a Blockstream rejeitou o pedido do atacante para ficar com parte como recompensa.
Em abril, a gateway cross-chain da Hyperbridge emitiu cerca de 1 bilhão de tokens equivalentes a DOT via mensagem forjada. Resultado extraído: aproximadamente US$ 237 mil. Em agosto, uma falha em ponte do The Sandbox permitiu SAND não autorizado em Base e BNB Smart Chain, com vendas somando algo perto de US$ 675 mil.
O protocolo afirma que está contatando individualmente cada provedor de liquidez afetado e que prepara um framework de compensação, com critérios de elegibilidade a serem publicados em separado.
Não foi informado como os 15 BTC recuperados serão distribuídos, nem se todos os LPs terão direito a reembolso. Desde o lançamento, há cerca de cinco anos, o Symbiosis processou mais de US$ 10 bilhões em transações. Dados da DefiLlama citados após o incidente apontavam TVL próximo de US$ 7 milhões e volume acumulado em pontes de aproximadamente US$ 3,19 bilhões.
