Un hacker avrebbe convertito circa 25 centesimi di bitcoin in circa 46 miliardi di token BTC contraffati sfruttando il Bitcoin Bridge di Symbiosis, un protocollo DeFi cross-chain. Il dato emerge in modo clamoroso, ma sopravvaluta i danni reali: i token emessi non sono bitcoin nativi e il denaro realmente a rischio — secondo le cifre preliminari dello stesso protocollo — si misura in bitcoin a una cifra, non in miliardi.

Come 25 centesimi di bitcoin sarebbero diventati 46 miliardi di falsi token BTC

L'incidente risale a Symbiosis, il cui Bitcoin Bridge è stato sfruttato l'11 settembre 2026, secondo la postmortem ufficiale del progetto, datata 14 settembre 2026.

Secondo la postmortem, l'attaccante ha depositato appena 330 satoshi e li ha utilizzati per coniare una quantità arbitraria di syBTC, il token del bridge che rappresenta il bitcoin. Quel deposito valeva circa 25 centesimi al valore del momento della segnalazione, secondo il rapporto sull'incidente di CoinDesk.

CoinDesk, che ha esaminato l'attività on-chain, ha riportato la creazione di circa 46,1 miliardi di syBTC privi di copertura. Quel dato è un conteggio arrotondato di token — non bitcoin nativi creati, né asset rubati. Il totale esatto, non arrotondato, non è stato verificato in modo indipendente con gli hash delle transazioni pubblicati.

La coniazione non è avvenuta con un solo clic. Symbiosis afferma che 12 depositi malevoli sono stati elaborati su BNB Chain (BSC), Ethereum e Rootstock in circa quattro minuti, distribuendo i falsi token su tre reti.

Incidenti di questo tipo hanno una lunga storia nella DeFi: i bridge cross-chain detengono asset degli utenti in pool all'interno di smart contract distribuiti su reti, una struttura che storicamente li ha resi bersaglio ricorrente degli attaccanti.

Perché 46 miliardi di falsi token BTC non significano 46 miliardi di bitcoin

syBTC è un token di bridge che dichiara di rappresentare bitcoin custoditi dal protocollo — non è bitcoin stesso. L'offerta di bitcoin nativo è limitata a 21 milioni di monete e non può essere gonfiata da un bug in uno smart contract su un'altra chain.

Coniare miliardi di token di bridge non genera la copertura per essi. Symbiosis riporta che prima dell'incidente deteneva circa 13,91 syBTC in circolazione, con 11,26 syBTC di liquidità in pool associati a BTCB, cbBTC, WBTC e RBTC — una frazione minuscola dei token generati dall'attaccante.

Questo divario è il punto centrale: un'etichetta di token, o una quantità enorme, da sola non dimostra una reale copertura in bitcoin né un valore realizzabile. Moltiplicare 46 miliardi di syBTC per il prezzo del bitcoin sarebbe privo di senso, perché non c'è mai stato un ammontare anche solo lontanamente simile di bitcoin contro cui riscattare.

La confusione rispecchia i dibattiti sugli asset confidenziali e wrapped nella DeFi — come l'iniziativa di Tether di portare USD₮ su infrastrutture orientate alla privacy e l'espansione di Zama nei vault di Morpho con contratti confidenziali — dove la rappresentazione di un asset e l'asset stesso sono cose distinte.

I due difetti software dietro l'exploit

Symbiosis attribuisce l'exploit a due difetti software interagenti, nessuno dei quali, secondo l'azienda, sarebbe stato sufficiente da solo. Il primo riguardava il decoder, che utilizzava dati di transazione controllati dall'attaccante per identificare il mittente, permettendo all'attaccante di impersonare un depositante autorizzato e l'amministratore del portale.

Il secondo difetto riguardava le commissioni. Symbiosis afferma che l'attaccante ha impostato la commissione minima del portale al di sotto di zero e che la sottrazione di una commissione negativa non verificata ha gonfiato il deposito accreditato.

Cosa resta da verificare sull'hack al bridge DeFi

Symbiosis stima in 9,97 BTC le perdite preliminari per i fornitori di liquidità e gli utenti coinvolti, descritte da CoinDesk come circa 770.000 dollari al valore del momento della segnalazione. Il protocollo presenta questo dato come una stima preliminare, non come una perdita finale verificata in modo indipendente.

Sul contenimento, Symbiosis afferma che i pagamenti in bitcoin all'attaccante non sono mai stati completati e che circa 15,2 BTC di fondi del portale sono stati trasferiti su indirizzi di riserva entro poche ore. Le riserve evacuate sono una salvaguardia, non la prova che qualche utente sia stato già risarcito.

Lo scenario positivo per gli utenti coinvolti si basa su quella risposta. Symbiosis afferma di voler coprire i fondi rubati, in parte dalle riserve evacuate, e di offrire piani di risarcimento individuali ai fornitori di liquidità — pur senza aver riportato alcun rimbor completato.

Lo scenario prudente è che fatti chiave restino ancora aperti. Symbiosis dichiara che la finestra per il white-hat si è chiusa senza risposta e che ora si applica un'offerta del 20% per informazioni che portino al recupero dei fondi, un esito tutt'altro che garantito.

Il protocollo afferma che la logica lato Bitcoin è in fase di riscrittura e sarà sottoposta a un audit indipendente prima della riattivazione, e che ha commissionato un audit completo del sistema. I risultati di tali audit, insieme a un'eventuale data di rilancio e ai primi pagamenti completati ai fornitori di liquidità, sono i parametri concreti da monitorare — e nessuno di essi è ancora stato definito.

Un'interpretazione ampiamente diffusa va trattata con cautela. La postmortem discute di come l'AI stia riducendo in generale il costo della scoperta di bug, ma non ci sono prove che questo attaccante abbia usato l'AI; ogni affermazione in tal senso si basa su rapporti non confermati anziché su fatti accertati.

Symbiosis ha riassunto la natura del doppio bug dell'exploit con le sue stesse parole nella postmortem, pubblicata su X:

— Symbiosis (@symbiosis_fi) September 14, 2026

Fonte: @symbiosis_fi su X

Per i lettori, la lezione riguarda scala e definizioni. La cifra di 46 miliardi misura token di bridge fabbricati; il denaro realmente a rischio, secondo i numeri preliminari dello stesso protocollo, si colloca nell'ordine di poche unità di BTC, con recupero dei fondi e audit ancora in sospeso.

Disclaimer: Questo articolo ha finalità puramente informative e non costituisce consulenza finanziaria o di investimento. I mercati delle criptovalute e degli asset digitali comportano rischi significativi. Effettuate sempre le vostre ricerche prima di prendere decisioni.