Hacker gera 46,1 bilhões de syBTC em ponte DeFi

Um atacante usou um depósito de 330 satoshis, cerca de 25 centavos, para emitir aproximadamente 46,1 bilhões de syBTC na Symbiosis, aplicação de troca de tokens entre blockchains. Duas falhas no software da ponte Bitcoin da plataforma se combinaram para viabilizar a operação, segundo uma análise pós-incidente divulgada nesta terça-feira.

Dados de blockchain revisados pela CoinDesk mostram 12 depósitos falsos em BNB Chain, Ethereum e Rootstock em cerca de quatro minutos, resultando em cerca de 46,1 bilhões de syBTC, mais de 2.000 vezes o limite de 21 milhões de moedas do Bitcoin.

Segundo a Symbiosis, a ponte analisava a parte errada de uma transação de Bitcoin para identificar o remetente, o que fez o sistema tratar o atacante como depositante aprovado e administrador da ponte. Com esse acesso, ele reduziu a taxa mínima para abaixo de zero; uma segunda falha subtraía a taxa negativa do depósito, somando em vez de descontar, e o valor passava a ser praticamente qualquer número informado pelo atacante.

A oferta de syBTC era de 13,91 tokens antes do ataque, sendo 11,26 em pools de liquidez pareados com WBTC, cbBTC, BTCB e RBTC. A perda preliminar estimada para provedores de liquidez e usuários afetados é de 9,97 BTC, cerca de US$ 770 mil, já que tokens sem lastro não geram os ativos reais necessários ao resgate.

A Symbiosis tem cerca de US$ 8 milhões em valor total bloqueado e processou aproximadamente US$ 146 milhões em volume de ponte nos últimos 30 dias completos, segundo a DefiLlama. O projeto planeja cobrir os fundos roubados com parte do Bitcoin retirado durante o ataque e com compensações separadas aos provedores de liquidez. A ponte Bitcoin segue offline para reescrita e auditoria independente do software.