Un hacker ha utilizzato un deposito di 25 centesimi di bitcoin per emettere circa 46,1 miliardi di token syBTC non coperti durante un exploit di settembre 2026 del Symbiosis Bitcoin Bridge. L'incidente non ha creato veri bitcoin e la perdita riportata è stata molto inferiore alla cifra dei token nei titoli.

Un bridge di finanza decentralizzata (DeFi) sposta valore tra blockchain diverse. Symbiosis gestiva un bridge Bitcoin che è stato sfruttato l'11 settembre 2026. L'incidente è stato riportato anche da CoinDesk.

Come ha funzionato l'exploit

L'attacco è iniziato con un deposito di 330 satoshi, le più piccole unità di bitcoin, del valore di circa 0,25 dollari, secondo l'analisi post-incidente di Symbiosis. I dati blockchain esaminati da CoinDesk hanno indicato che il deposito ha generato circa 46,1 miliardi di syBTC, un token del bridge progettato per rappresentare bitcoin.

Symbiosis ha dichiarato che l'attaccante ha sfruttato due vulnerabilità software che operavano insieme. Una consentiva all'attaccante di impersonare un depositore autorizzato e l'amministratore del portale. L'altra riduceva la commissione del bridge sotto zero, gonfiando il numero di token emessi. Con la commissione in territorio negativo, l'importo accreditato per ogni deposito cresceva oltre il dovuto, ed è così che un input di meno di un dollaro poteva produrre miliardi di token.

"Nessuna delle due vulnerabilità era sufficiente da sola", ha scritto Symbiosis nel suo rapporto.

L'attacco si è sviluppato rapidamente su più reti. Symbiosis ha dichiarato che 12 depositi dannosi sono stati eseguiti su BNB Chain, Ethereum e Rootstock, una sidechain di Bitcoin, in circa quattro minuti.

— Symbiosis (@symbiosis_fi) September 14, 2026

— Symbiosis (@symbiosis_fi) September 14, 2026

Source: @symbiosis_fi on X

Perché la cifra di 46,1 miliardi non rappresenta bitcoin

La cifra di 46,1 miliardi si riferisce a token del bridge fabbricati, non a bitcoin reali. L'offerta totale di bitcoin rimane limitata a circa 21 milioni di monete e l'exploit non ha alterato la rete Bitcoin né creato autentici.

Poiché il syBTC non era coperto, nessun corrispondente importo di bitcoin era detenuto a supporto dei token. Moltiplicare 46,1 miliardi per il prezzo di mercato del bitcoin produrrebbe quindi una cifra nominale piuttosto che una misura della perdita.

Symbiosis ha riportato che il bridge aveva solo circa 13,91 syBTC di offerta totale prima dell'incidente. Di tale importo, circa 11,26 syBTC erano detenuti come liquidità in pool abbinati ad asset bitcoin wrapped, tra cui BTCB, cbBTC, WBTC e RBTC.

Il protocollo ha stimato le perdite preliminari per utenti e fornitori di liquidità in 9,97 BTC.

Perdite preliminari per utenti e fornitori di liquidità: 9,97 BTC

L'exploit non ha interessato la blockchain di Bitcoin stessa. Per chi detiene BTC su un exchange come Coinbase, l'incidente ha riguardato un bridge di terze parti e non la rete Bitcoin.

Recupero e incertezze rimanenti

Alcuni dettagli si basano su analisi blockchain riportate piuttosto che su registri di transazione confermati. Il totale preciso di 46,1 miliardi di token emessi e i dettagli delle 12 transazioni provengono dall'esame dei dati blockchain di CoinDesk. L'articolo di origine ha dichiarato che gli hash delle transazioni e le pagine degli explorer non erano stati confermati lì, quindi la cifra dei titoli dovrebbe essere trattata come una stima riportata piuttosto che un dato pienamente accertato.

Symbiosis ha dichiarato che i pagamenti in bitcoin all'attaccante non sono stati completati. Il protocollo ha anche dichiarato di aver spostato circa 15,2 BTC di fondi del portale verso indirizzi di riserva entro poche ore dall'exploit.

Quei fondi evacuati non sono necessariamente gli stessi dei fondi rubati recuperati. Symbiosis ha dichiarato che la finestra per i white hat si è chiusa senza risposta. La sua offerta del 20% si applica quindi alle informazioni che portano al recupero.

Il risarcimento non era stato completato. Symbiosis ha dichiarato di voler coprire i fondi rubati in parte con i bitcoin evacuati e tramite piani individuali per i fornitori di liquidità. Il protocollo ha inoltre dichiarato che la logica lato Bitcoin sarà riscritta e verificata indipendentemente prima della riapertura del bridge, mentre è stato commissionato un audit completo del sistema. Non è stata annunciata alcuna tempistica per la riapertura, quindi gli audit completati, il rilancio del bridge e l'erogazione dei piani individuali per i fornitori di liquidità sono le milestone da monitorare.

Il bitcoin è stato scambiato vicino a 76.416 dollari al momento della stesura, in calo di circa il 2,8% sulla giornata. L'articolo di origine ha dichiarato che non vi era alcun legame accertato tra tale movimento e l'exploit del bridge.

L'incidente illustra la differenza tra la quantità di token emessi da un bridge e l'ammontare degli asset sottostanti che li coprono. In questo caso, un piccolo deposito ha prodotto un grande numero di token non coperti, mentre le perdite riportate sono rimaste nell'ordine delle unità di BTC. I bridge possono facilitare i trasferimenti tra reti, ma introducono anche rischi distinti da quelli della blockchain sottostante. Detengono asset utente in pool sotto il proprio codice contrattuale, una categoria di infrastruttura DeFi che è stata un bersaglio ricorrente negli incidenti di sicurezza, ed è per questo che una falla nella logica di un bridge può lasciareatta la catena di base mentre gli utenti e i fornitori di liquidità del bridge assorbono le perdite.

Questo articolo ha scopo esclusivamente informativo e non costituisce consulenza finanziaria o di investimento. I mercati delle criptovalute e degli asset digitali comportano rischi significativi.