Symbiosis, un protocollo di liquidità cross-chain, ha dichiarato di aver recuperato circa 15 BTC dopo un exploit che ha colpito il suo Bitcoin Bridge e, secondo quanto riportato, avrebbe offerto all’attaccante una ricompensa del 20% per la restituzione dei fondi rimanenti. L’incidente è l’ultimo caso di violazione della sicurezza di un bridge a mettere alla prova la possibilità che incentivi di tipo whitehat contribuiscano a recuperare criptovaluta sottratta senza l’intervento delle autorità giudiziarie.

Symbiosis ha riconosciuto l’incidente di sicurezza intorno alle 04:28 UTC dell’11 settembre 2026 e ha dichiarato di aver sospeso le rotte BTC, mentre le altre rotte sono rimaste operative. Il protocollo ha affermato che le rotte non BTC non erano state interessate e che la liquidità nelle sue pool di ETH e stablecoin era al sicuro. Questa valutazione resta una dichiarazione del team e non è stata verificata in modo indipendente attraverso un test operativo. L’account X di Symbiosis è disponibile all’indirizzo https://x.com/symbiosis_fi.

Secondo quanto riportato, senza conferme, da Crypto Briefing, Symbiosis avrebbe recuperato circa 15 BTC e depositato i fondi in un wallet multisig. Il report è disponibile all’indirizzo Nessun hash di transazione relativo al recupero o indirizzo di custodia è stato verificato in modo indipendente e la dichiarazione ufficiale acquisita risulta troncata.

Cosa si sa del recupero riportato

Il recupero di circa 15 BTC non stabilisce l’ammontare totale perso né dimostra che tutti i fondi interessati siano stati recuperati. Una singola fonte ha riferito che una vulnerabilità di BridgeV2 avrebbe consentito il conio di syBTC non garantiti. Secondo quanto riportato, l’attaccante avrebbe convertito circa 4.39 WBTC su Ethereum tramite Uniswap V4. Tuttavia, gli hash delle transazioni, i decimali dei token e la ripartizione tra i proventi dell’attaccante e la perdita netta restano non verificati.

Symbiosis ha annunciato per la prima volta il suo Bitcoin Bridge nativo in un articolo di lancio datato September 23, 2024: L’articolo descriveva un bridge bidirezionale che collegava Bitcoin alle reti Ethereum Virtual Machine attraverso un BTC Portal, una Relayers Network, syBTC su ZKsync Era e un BTC Forwarder. Questa architettura basata su relayer e wrapper è la componente del sistema che l’incidente sembra aver messo alla prova.

I bridge cross-chain sono frequentemente presi di mira nel settore delle criptovalute perché concentrano la custodia degli asset wrapped dietro smart contract e insiemi di relayer. Ciò crea una difficoltà nella minimizzazione della fiducia quando il valore si sposta tra ambienti di esecuzione separati. Il modello ricorda anche il modo in cui Blockstream ha gestito un exploit di Liquid, quando la società ha respinto una richiesta di riscatto invece di negoziare una restituzione.

Al momento dello snapshot di mercato citato, Bitcoin era scambiato a $76,763, in calo di circa lo 0.57% nella giornata, con una capitalizzazione di mercato vicina a $1.54 trillion. Il Crypto Fear \u0026 Greed Index si attestava a 61, in territorio Greed. Questi dati costituiscono esclusivamente un contesto di fondo e non dimostrano un nesso causale tra l’exploit e il prezzo di Bitcoin o le condizioni generali del mercato.

Symbiosis avrebbe offerto una ricompensa del 20%

Secondo il report non confermato di Crypto Briefing, Symbiosis avrebbe offerto all’attaccante una ricompensa del 20% sui fondi restituiti e fissato una scadenza al September 13, 2026, dopo la quale avrebbe potuto applicarsi una ricompensa per le informazioni sul recupero. Non è stato dimostrato che l’offerta sia stata accettata o pagata e il suo stato attuale è sconosciuto.

Le informazioni disponibili non specificano chiaramente il denominatore a cui si applica il 20%, il fuso orario della scadenza o le condizioni associate all’offerta. Inoltre, non dimostrano che l’offerta abbia causato il recupero riportato. Un’offerta di ricompensa non garantisce di per sé l’immunità legale e non è stata verificata alcuna azione da parte di autorità di regolamentazione, accordi transattivi o forze dell’ordine in relazione all’incidente.

L’offerta specifica per questo incidente è distinta dal programma permanente di bug bounty di Symbiosis su Immunefi, che prevede una ricompensa fissa di $100,000 per le vulnerabilità critiche degli smart contract, è attivo dal August 18, 2022 e richiede una proof of concept. Nulla indica che l’attaccante sia idoneo a partecipare al programma pubblicato:

Per i mercati decentralizzati dell’AI e del calcolo, che fanno sempre più affidamento sul settlement cross-chain per stabilire il prezzo del tempo GPU e instradare i pagamenti agli agenti, l’incidente evidenzia i rischi concentrati nell’infrastruttura di wrapping e dei relayer. Finché Symbiosis non pubblicherà un post-mortem completo con prove del recupero collegate agli explorer e termini della ricompensa confermati, sia il recupero sia l’offerta resteranno informazioni riportate e non fatti definitivi.

Fonte: https://aicryptocore.com/symbiosis-bitcoin-bridge-exploit-15-btc-recovery

Disclaimer: questo articolo ha esclusivamente finalità informative e non costituisce consulenza finanziaria o d’investimento. I mercati delle criptovalute e degli asset digitali comportano rischi significativi. Effettuate sempre le vostre ricerche prima di prendere decisioni.