Il protocollo cross-chain Symbiosis ha sospeso l’11 settembre 2026 tutte le rotte Bitcoin del suo BridgeV2 dopo che un aggressore ha sfruttato un difetto di validazione dei messaggi per coniare syBTC (la versione sintetica di Bitcoin sul protocollo) senza reale garanzia in BTC. L’hacker e’ riuscito a convertire solo una piccola parte del bottino, incassando circa $336.000 in Wrapped Bitcoin (WBTC) su Uniswap V4 (exchange decentralizzato).
Il team ha bloccato immediatamente lo scambio e, secondo Cryptometer, ha recuperato circa 15 BTC in un wallet multisign offrendo all’attaccante una taglia whitehat del 20% per la restituzione dei fondi residui.
L’incidente arriva a pochi giorni dall’exploit da $320 milioni di Liquid Network, riaccendendo il dibattito sui rischi strutturali dei bridge cross-chain che gestiscono Bitcoin senza le garanzie native della blockchain originale.
Cosa e’ Successo al Bridge Bitcoin di Symbiosis
Secondo la ricostruzione di CryptoTimes, l’attacco ha preso di mira il contratto BridgeV2 di Symbiosis, che collega i componenti Portal e Synthesis del protocollo tramite una rete di relayer off-chain basata su firme a soglia (MPC). Sfruttando una falla nella validazione dei messaggi, l’aggressore ha inviato una transazione firmata che ha forzato il conio non autorizzato di syBTC su BNB Chain ed Ethereum, senza alcun Bitcoin reale a garanzia.
Il conteggio esatto dei token creati varia a seconda del tracker: Blockaid (piattaforma di sicurezza on-chain) stima circa 46,1 miliardi di unita’ grezze di syBTC, mentre DefraudTG (servizio di alert su exploit DeFi) ne calcola circa 368,9 miliardi dopo otto transazioni sul bridge. La discrepanza riflette metodi di conteggio diversi sulle unita’ grezze e sui trasferimenti ripetuti tra le due chain, ma il dato che conta economicamente resta un altro: l’attaccante ha liquidato solo 4,39 WBTC (circa $336.000) su Uniswap V4, lasciando inutilizzati circa 184,5 miliardi di syBTC su BNB Chain.
Il Delta Incident Archive (registro indipendente di incidenti crypto) ha classificato l’evento come DCI-2026-304, mentre DeFiLlama (aggregatore dati DeFi) lo cataloga come “Unbacked Cross-Chain Mint”. Secondo Coin-Turk, Symbiosis aveva commissionato in precedenza un audit di sicurezza a Decurity proprio sul bridge Bitcoin nativo del protocollo.
Perche’ e’ Importante
L’exploit conferma un rischio strutturale gia’ evidenziato dal caso Liquid Network: quando Bitcoin viene “impacchettato” in una versione sintetica per circolare su altre blockchain, la sicurezza dipende dal codice del bridge e non piu’ dal protocollo Bitcoin originale. Un bug nella logica di conio puo’ rompere il vincolo 1:1 tra syBTC e riserve reali, come e’ successo con BridgeV2.
La scala e’ molto piu’ contenuta rispetto ai $320 milioni nominali sottratti a Liquid Network, ma il meccanismo e’ lo stesso identificato anche nell’attacco a GoMining di inizio settembre: sfruttare un anello debole dell’infrastruttura che circonda Bitcoin, non Bitcoin in se’. Chi detiene BTC nativo, senza passare da bridge o wrapper, non e’ esposto a questo tipo di vulnerabilita’.
Le Reazioni
Symbiosis ha confermato che le rotte diverse da Bitcoin restano operative e che le pool di liquidita’ in ETH e stablecoin sono al sicuro, mentre il team collabora con ricercatori di sicurezza esterni per completare l’analisi. Il protocollo ha reso pubblica un’offerta di taglia whitehat del 20% dei fondi per l’attaccante, in cambio della restituzione volontaria del bottino residuo, e ha gia’ messo al sicuro in un multisign i circa 15 BTC recuperati.
La perdita finale e’ ancora in fase di calcolo, ma il dato confermato da piu’ fonti indipendenti resta quello dei $336.000 realmente estratti dall’attaccante, una frazione minima rispetto al valore nominale dei token coniati abusivamente.
| Evento | Data | Valore reale sottratto | Risposta del team |
|---|---|---|---|
| Symbiosis BridgeV2 | 11 settembre 2026 | ~$336.000 (4,39 WBTC) | Taglia whitehat 20%, 15 BTC recuperati |
| Liquid Network | 6 settembre 2026 | ~$320 milioni nominali (4.000 BTC) | Riscatto rifiutato da Blockstream |
Cosa Aspettarsi
Le rotte Bitcoin di Symbiosis restano sospese in attesa che il team completi l’aggiornamento del contratto BridgeV2 e chiuda la falla di validazione. Resta aperta la trattativa sulla taglia whitehat, mentre gli analisti continuano a riconciliare le stime sul volume nominale di syBTC coniato abusivamente.
Dopo due incidenti su bridge e sidechain Bitcoin nello stesso mese, e’ probabile un aumento della pressione su protocolli simili affinche’ pubblichino audit piu’ frequenti e meccanismi di pausa automatica in caso di conio anomalo. Per restare aggiornato in tempo reale su ogni sviluppo della sicurezza Bitcoin, scarica l’app di BitcoinLive24.
Domande Frequenti
Cos’e’ un bridge Bitcoin e perche’ puo’ essere vulnerabile?
Un bridge Bitcoin e’ un protocollo che crea una versione sintetica di BTC (come syBTC o WBTC) su altre blockchain per usarla in applicazioni DeFi. E’ vulnerabile perche’ la sua sicurezza dipende dal codice del bridge stesso, non dalle garanzie native di Bitcoin: un bug nella logica di conio o di validazione puo’ creare token senza reale collaterale.
Quanto ha perso realmente Symbiosis nell’exploit dell’11 settembre?
Circa $336.000, il valore che l’attaccante e’ riuscito a convertire in 4,39 WBTC e vendere su Uniswap V4. Il volume nominale di syBTC coniato abusivamente e’ molto piu’ alto, ma gran parte e’ rimasta inutilizzata su BNB Chain.
Cosa succede ora ai fondi Bitcoin bloccati sul bridge Symbiosis?
Le rotte Bitcoin restano sospese finche’ il team non completa la patch di sicurezza. Circa 15 BTC sono gia’ stati recuperati e messi al sicuro in un wallet multisign, mentre resta aperta un’offerta di taglia whitehat del 20% per l’attaccante.
