Hackean el puente de Bitcoin de Symbiosis: acuñan 46.000 millones de syBTC falsos en un exploit de 336.000 dólares

El proveedor de infraestructura entre cadenas Symbiosis reveló que su infraestructura de puente de Bitcoin sufrió una brecha de seguridad el 11 de septiembre de 2026. El exploit permitió a una parte no autorizada aprovechar una falla en el contrato inteligente BridgeV2, lo que resultó en la creación de miles de millones de tokens de bitcoin sintéticos ilegítimos.

La plataforma de monitoreo de ciberseguridad Blockaid detectó y publicitó inicialmente la brecha. Según su análisis, el perpetrador generó aproximadamente 46.100 millones de syBTC, una cantidad que supera en más de 2.000 veces el suministro circulante total de Bitcoin. Estos tokens fabricados se transfirieron a una dirección de billetera recién creada.

Si bien la cantidad de tokens falsificados acuñados fue enorme, el atacante enfrentó importantes restricciones de liquidez. Solo logró intercambiar alrededor de 4,39 bitcoins envueltos a través de Uniswap en la red Ethereum, extrayendo finalmente aproximadamente 336.000 dólares. Los tokens acuñados restantes no encontraron demanda en el mercado.

Tras el descubrimiento, Symbiosis reconoció el incidente de seguridad y suspendió de inmediato toda la funcionalidad de enrutamiento nativo de Bitcoin. El protocolo mantuvo las operaciones para rutas alternativas que abarcan blockchains compatibles con EVM, TRON y redes TON. Su servicio Octopools continuó funcionando sin interrupciones.

Symbiosis recupera 15 BTC y ofrece una recompensa

Según Symbiosis, el equipo ha recuperado con éxito aproximadamente 15 BTC tras la brecha. A los tipos de mercado vigentes, esta recuperación representa aproximadamente 1,15 millones de dólares en valor. Estos activos recuperados se encuentran actualmente asegurados en una billetera multifirma gestionada por el equipo central.

El equipo de desarrollo inició contacto con el perpetrador, extendiendo una propuesta de recompensa de sombrero blanco equivalente al 20% de los activos malversados. Esta propuesta incluía una fecha límite de aceptación del 13 de septiembre. Tras esta fecha de corte, Symbiosis anunció que redirigiría el mismo incentivo del 20% a cualquier individuo que suministre inteligencia procesable que facilite una recuperación adicional de fondos.

La plataforma indicó que está interactuando directamente con los proveedores de liquidez afectados. Se está desarrollando una estructura de compensación, con parámetros de elegibilidad específicos programados para su publicación inminente. La funcionalidad de intercambio de Bitcoin se ha restablecido a través de los socios de integración de terceros Chainflip y THORChain, mientras que el puente propietario permanece deshabilitado.

Tercer exploit de puente de Bitcoin en semanas

Esta brecha representa otro suceso en una tendencia alarmante. En las últimas semanas, tanto Liquid Network como Nomic experimentaron ataques comparables con tokens derivados de Bitcoin sin respaldo.

La Liquid Network operada por Blockstream fue testigo de cómo un adversario generó aproximadamente 4.000 tokens LBTC sin respaldo y los convirtió en Bitcoin genuino. El perpetrador devolvió posteriormente aproximadamente 3.400 BTC, aunque Blockstream se negó a compensar los 598,5 BTC restantes que siguen sin recuperarse.

Nomic encontró una debilidad de seguridad distinta que permaneció sin detectar durante un período prolongado en condiciones comparables. Las tres brechas emplearon metodologías fundamentalmente idénticas: explotar plataformas de envoltura de Bitcoin para generar tokens excesivos supuestamente respaldados por activos legítimos.

Hasta el 13 de septiembre, Symbiosis no ha publicado un análisis técnico exhaustivo que detalle con precisión cómo se vio comprometido el contrato BridgeV2. Ninguna declaración pública ha verificado si el atacante respondió a la propuesta de recompensa.

Desde su creación hace aproximadamente cinco años, Symbiosis ha facilitado más de 10.000 millones de dólares en volumen de transacciones acumulado. El protocolo mantiene actualmente alrededor de 7 millones de dólares en valor total bloqueado.