Attacco al Ponte Bitcoin di Symbiosis
La scorsa settimana, la comunità crypto è stata scossa da un attacco che ha coinvolto token supportati da Bitcoin. Dopo i recenti problemi legati a L-BTC della Liquid Network e nBTC di Nomic, il ponte Bitcoin di Symbiosis è stato sfruttato. Secondo i rapporti, un hacker è riuscito a coniare miliardi di syBTC non supportati attraverso una serie di transazioni, incassando circa 336.000 dollari in beni non garantiti.
Scoperta della Vulnerabilità
Questa settimana, la piattaforma di cybersicurezza on-chain Blockaid ha scoperto una vulnerabilità nel BTC Bridge di Symbiosis.
“Allerta alla comunità,” ha scritto Blockaid sulla piattaforma social X. “Signed BridgeV2 ha coniato ~2^62 raw syBTC (8 decimali; valore nominale ~46.1B) a un nuovo EOA; lo stesso beneficiario ha scaricato ~4.39 WBTC su Ethereum Uni V4. Finora sono stati realizzati circa $336k di proventi in WBTC.”
In parole semplici, l’hacker ha ingannato il ponte Bitcoin di Symbiosis facendogli generare una quantità enorme di BTC sintetico non supportato. Tuttavia, l’entità maligna è riuscita a vendere solo una piccola parte per circa 336.000 dollari in vero Bitcoin avvolto (WBTC); il resto era un’offerta fasulla che nessuno avrebbe comprato.
Risposta di Symbiosis
Symbiosis ha confermato l’attacco su X, dichiarando:
“Symbiosis ha subito un incidente di sicurezza. Alle circa 04:28 UTC dell’11 settembre 2026, un attaccante ha sfruttato una vulnerabilità nel ponte Bitcoin. I percorsi BTC sono stati interrotti, ma altri percorsi rimangono operativi e sicuri.”
Il team ha recuperato circa 15 BTC, ora al sicuro su un multisig controllato dal team.
“Abbiamo contattato l’attaccante con un’offerta di ricompensa white-hat del 20% dei fondi, valida fino al 13 settembre 2026. Dopo quella data, lo stesso 20% sarà offerto a chiunque fornisca informazioni che portino al recupero,” ha aggiunto il team.
Preoccupazioni Maggiori
Ciò che rende questo incidente ancora più preoccupante è che questo trucco di base è accaduto tre volte nelle ultime settimane. Anche se non sono esattamente le stesse manovre, la Liquid Network è stata prosciugata per quasi 4.000 BTC utilizzando beni non supportati, e Nomic ha subito un buco che è passato inosservato per mesi in circostanze simili. Tutti e tre gli incidenti hanno utilizzato lo stesso trucco di base, convincendo un progetto di avvolgimento Bitcoin a stampare monete extra che avrebbero dovuto rappresentare token reali.
A partire dalla mattina di domenica 13 settembre, Symbiosis non aveva ancora pubblicato un post-mortem tecnico che spiegasse esattamente dove BridgeV2 ha fallito, né fornito una cifra finale di perdita in dollari, né confermato pubblicamente se l’attaccante avesse accettato la sua offerta white-hat del 20%. Un gruppo che ha prosciugato quasi 4.000 BTC dalla Liquid Network di Blockstream ha restituito 3.400 BTC, mantenendo circa 598.5 BTC, ma i dettagli rimangono incerti.
