Symbiosis, protocollo di liquidità cross-chain (che collega blockchain diverse permettendo lo scambio di token tra loro), ha recuperato circa 15 BTC (circa 1,15 milioni di dollari ai prezzi attuali) dopo l’exploit che l’11 settembre 2026 ha colpito il suo Bitcoin Bridge. Il team ha offerto all’attaccante un bounty (ricompensa per la restituzione volontaria dei fondi) del 20%, con scadenza fissata al 13 settembre. La vicenda si aggiunge a una serie di violazioni che negli ultimi mesi ha coinvolto diversi ponti verso Bitcoin, da Liquid Network a Coldcard.
Cosa è Successo
Un attaccante ha sfruttato una falla nel contratto BridgeV2 di Symbiosis alle 04:28 UTC dell’11 settembre 2026, riuscendo a coniare circa 46,1 miliardi di dollari nominali in syBTC, il token che rappresenta Bitcoin all’interno del protocollo. Si tratta di un valore puramente nominale, non di fondi reali sottratti.
La piattaforma di sicurezza on-chain Blockaid ha rilevato l’anomalia. Secondo The Block, l’attaccante ha convertito in denaro reale solo circa 4,39 WBTC (Bitcoin su Ethereum) tramite Uniswap v4, incassando $336.000.
Symbiosis ha isolato il bridge compromesso. Secondo The Block, il team ha ripristinato gli swap Bitcoin attraverso i partner terzi Chainflip e THORChain, mentre il Bitcoin Bridge proprietario resta sospeso.
Perché è Importante
Il recupero di 15 BTC riduce il danno reale rispetto al valore nominale coniato, ma lascia scoperti i fornitori di liquidità (LP, gli utenti che depositano fondi nel protocollo per garantirne il funzionamento) del bridge. Symbiosis, citata da The Block, ha dichiarato: «Stiamo contattando ogni LP interessato direttamente. Stiamo costruendo un framework di compensazione e pubblicheremo presto i criteri».
L’episodio arriva pochi giorni dopo il primo report di BitcoinLive24 sull’exploit del Bitcoin Bridge di Symbiosis e conferma un pattern ricorrente: i bridge cross-chain restano l’anello più debole dell’infrastruttura legata a Bitcoin, mentre la rete Bitcoin sottostante non è mai stata toccata.
Le Reazioni
La proposta di bounty rientra in una prassi ormai consolidata nel settore: offrire una percentuale dei fondi in cambio della restituzione volontaria, per evitare azioni legali contro l’attaccante. Un caso simile si è visto con l’offerta di restituzione dei 4.000 BTC rubati a Liquid Network, dove però Blockstream ha infine rifiutato il riscatto richiesto dagli hacker.
Ad oggi, secondo Bitcoin.com News, Symbiosis non ha pubblicato un post-mortem tecnico che spieghi nel dettaglio dove ha fallito il contratto BridgeV2, né ha confermato se l’attaccante abbia accettato l’offerta del 20%.
Cosa Aspettarsi
Se l’attaccante non aderirà al bounty entro la scadenza del 13 settembre, Symbiosis ha annunciato che la stessa ricompensa del 20% sarà offerta a chiunque fornisca informazioni utili a un recupero ulteriore dei fondi. Il protocollo dovrà inoltre pubblicare i criteri del framework di compensazione promesso ai fornitori di liquidità, un passaggio che determinerà l’entità reale delle perdite per gli utenti coinvolti.
Resta da vedere se altri bridge basati su un’architettura simile a BridgeV2 presentino la stessa vulnerabilità, un rischio che gli analisti di sicurezza on-chain continueranno a monitorare nelle prossime settimane.
| Dato | Valore |
|---|---|
| Data exploit | 11 settembre 2026, 04:28 UTC |
| syBTC coniati (valore nominale) | ~46,1 miliardi di $ |
| Fondi realmente incassati dall’attaccante | ~$336.000 (4,39 WBTC via Uniswap v4) |
| BTC recuperati da Symbiosis | ~15 BTC (~$1,15 milioni) |
| Bounty offerto | 20% dei fondi, scadenza 13 settembre 2026 |
Domande Frequenti
Cos’è il Bitcoin Bridge di Symbiosis?
È il componente del protocollo Symbiosis che permette di spostare Bitcoin su altre blockchain rappresentandolo come token syBTC. La vulnerabilità nel contratto BridgeV2 ha permesso di coniare syBTC senza il reale Bitcoin di garanzia corrispondente.
Perché l’attaccante ha incassato solo $336.000 su miliardi coniati?
Perché il valore nominale coniato (46,1 miliardi di $) non corrisponde a fondi reali disponibili: l’attaccante ha potuto convertire in denaro reale solo la quota di syBTC per cui esisteva liquidità effettiva su Uniswap v4, pari a 4,39 WBTC.
I fondi degli utenti Bitcoin sono a rischio?
La rete Bitcoin non è stata toccata: la falla riguarda esclusivamente il contratto ponte di Symbiosis. Gli utenti a rischio sono i fornitori di liquidità del bridge, per cui Symbiosis ha promesso un framework di compensazione.
Per restare aggiornati in tempo reale su ogni sviluppo della vicenda, scarica l’app BitcoinLive24 e attiva le notifiche push.
