A Symbiosis suspende a ponte de Bitcoin depois de um atacante ter criado milhares de milhões de syBTC falsos

A Symbiosis desativou a sua ponte de Bitcoin nas primeiras horas do dia 11 de setembro, depois de alguém ter descoberto como fazer com que o protocolo acreditasse que tinha recebido Bitcoin que nunca foi enviado. O valor em dólares associado ao roubo depende dos números em que se confia. Uma conta OSINT no X, a osint_based, estimou a perda em 750 000 dólares. A Blockaid, a empresa de segurança que detetou o ataque no momento em que ocorreu, e os rastreadores de incidentes que recolheram os seus dados posteriormente chegaram a um valor mais próximo dos 336 000 dólares. Nenhum dos valores é exorbitante para os padrões de 2026, mas a diferença entre eles serve para lembrar que as primeiras horas após uma exploração de uma ponte raramente produzem uma resposta definitiva.

O que realmente falhou

O BridgeV2 é o contrato que permite que o Bitcoin nativo seja transferido para a Symbiosis como syBTC, um token sintético destinado a acompanhar o BTC na proporção de um por um noutras cadeias. Baseia-se numa rede de retransmissão fora da cadeia que assina mensagens entre cadeias com chaves de limiar MPC, e deve verificar se qualquer mensagem de «Bitcoin recebido» corresponde ao Bitcoin que alguém enviou efetivamente. Por volta das 04:28 UTC, isso não aconteceu. Uma operação de receção assinada pelo BridgeV2 foi executada com uma instrução malformada, e o contrato cunhou cerca de 2^62 unidades brutas de syBTC para uma carteira recém-criada na BNB Smart Chain. Fazendo as contas decimais, isso equivale, em teoria, a cerca de 46 mil milhões de tokens. Um monitor independente, o DefraudTG, estimou o total cunhado na BNB Chain e na Ethereum em 368,9 mil milhões de syBTC após rastrear oito transações de ponte distintas, uma discrepância que provavelmente se deve à forma como cada serviço contabilizou as unidades brutas em comparação com as transferências.

Seja qual for o verdadeiro volume de tokens cunhados, o atacante não tentou escoar tudo. Transferiu uma parte para a Ethereum e vendeu cerca de 4,39 WBTC através da Uniswap V4, daí provir o valor de 336 000 dólares. O restante, estimado em 184,5 mil milhões de syBTC, continua na carteira da BNB Chain do explorador. É essa a parte que vale a pena acompanhar. Uma oferta de tokens dessa magnitude não tem qualquer lastro real e, se começar a circular por pools de liquidez em vez de bolsas centralizadas, os danos não se limitarão ao que já saiu do protocolo.

Resposta da Symbiosis

A Symbiosis confirmou o incidente na sua conta do X em menos de uma hora, informando que as trocas relacionadas com BTC foram desativadas, enquanto as rotas de ETH e stablecoins permaneceram ativas, e que a liquidez nessas reservas tinha sido verificada e estava segura. A equipa classificou o evento internamente, e o Delta Incident Archive registou-o como DCI-2026-304, com a DeFiLlama a classificá-lo como uma «emissão entre cadeias sem lastro», a mesma categoria utilizada para o desastre da Liquid Network do mês passado.

O desdobramento tem sido mais encorajador do que os números iniciais sugeriam. A Symbiosis afirma que, desde então, foram recuperados cerca de 15 BTC, embora a equipa não tenha publicado um valor final das perdas e continue a trabalhar diretamente com os fornecedores de liquidez afetados num quadro de compensação. O protocolo também apresentou uma oferta do tipo «white hat»: 20% dos fundos recuperados para o atacante, caso este devolva o restante antes do prazo de 13 de setembro, com a mesma recompensa em jogo para qualquer outra pessoa que ajude a localizar o dinheiro posteriormente. Se essa oferta será aceite, ninguém sabe ao certo. Acordos de recompensa por bugs como este funcionam com frequência suficiente para que as equipas continuem a oferecê-los, mas falham com frequência suficiente para que ninguém deva dar por certo que este vá concretizar-se.

O problema da ponte não vai desaparecer

A Symbiosis submeteu a sua ponte nativa para BTC a uma auditoria independente realizada pela Decurity, o que é o tipo de detalhe que tende a ser repetido depois de algo correr mal e que, por si só, raramente significa muito. As auditorias verificam o que os auditores consideram necessário verificar. Bugs de autenticação de mensagens como este, em que o contrato confia numa instrução assinada sem validar devidamente o que esta realmente diz, são exatamente o tipo de falha que passa despercebida.

Vale a pena contextualizar: este é um incidente de menor dimensão do que a maioria dos que têm sido notícia ultimamente. A TRM Labs contabilizou 207 ataques a criptomoedas só no primeiro semestre de 2026, o total semestral mais elevado que a empresa já registou, embora as perdas totais tenham, na verdade, diminuído drasticamente, passando de 2,3 mil milhões de dólares no primeiro semestre de 2025 para 972 milhões de dólares no primeiro semestre de 2026. O valor de 336 000 dólares aproxima-se da perda média desse período, de cerca de 219 000 dólares por incidente; o valor de 750 000 dólares, se se confirmar, colocaria a Symbiosis bem acima dessa média. Este dado surgiu também poucos dias após a exploração da Liquid Network, em que os atacantes cunharam L-BTC sem lastro e retiraram cerca de 320 milhões de dólares — quase 4 000 dos 4 200 BTC da rede —, antes de os autodenominados «white hats» devolverem cerca de 85% desse montante. O mesmo guião, mas numa escala totalmente diferente. A DeFiLlama estima agora as perdas acumuladas das pontes em todo o setor em mais de 3,68 mil milhões de dólares, e o próprio segmento de pontes inter-cadeias do Bitcoin fica com pouco mais de um milhão de dólares em valor total bloqueado, incluindo a ponte BTC da Symbiosis, que se encontra agora a zero enquanto a correção está a ser implementada.