Symbiosis ha recuperado aproximadamente 15 BTC tras el ataque contra su puente nativo de Bitcoin, pero todavía no ha definido cómo compensará a los proveedores de liquidez afectados. El protocolo mantiene pausado ese puente mientras completa el cálculo de las pérdidas y se acerca el cierre, aún sin hora ni zona horaria especificadas, de la ventana de recompensa ofrecida al atacante.
Una emisión masiva de bitcoin sintético
La vulnerabilidad fue explotada alrededor de las 04:28 UTC del 11 de septiembre, según el comunicado publicado por Symbiosis. La empresa aseguró que el incidente se limitó a su puente de Bitcoin y que el resto de rutas y componentes continuaron operativos. Entre los servicios que no se vieron afectados citó las conexiones entre cadenas compatibles con EVM, TRON y TON.
La firma de seguridad Blockaid informó de que una transacción aceptada como firmada por el sistema BridgeV2 de Symbiosis acuñó aproximadamente 262 unidades brutas de syBTC en una cartera recién creada en BNB Chain. syBTC es una representación sintética de bitcoin utilizada dentro del protocolo, no bitcoin nativo. La magnitud de la emisión no equivale, por sí sola, a una pérdida de esa cantidad en BTC.
Blockaid también observó que el beneficiario de la operación vendió alrededor de 4,39 WBTC en Ethereum. Según la estimación difundida por la firma en el momento de su alerta, esa conversión generó unos 336.000 dólares. La cifra refleja únicamente el valor que Blockaid vio convertir al atacante y no permite establecer ni la pérdida final de Symbiosis ni la exposición total de los proveedores de liquidez.
El puente afectado continúa detenido
Symbiosis comunicó inicialmente que las operaciones relacionadas con Bitcoin no estaban disponibles mientras desplegaba actualizaciones. En una posterior actualización operativa, explicó que los intercambios de Bitcoin canalizados a través de sus socios Chainflip y THORChain habían vuelto a funcionar, mientras que el puente nativo de Bitcoin de Symbiosis seguía pausado.
La diferencia es relevante para los usuarios: las rutas gestionadas por socios están disponibles, pero el puente directamente afectado por el ataque no ha recuperado su actividad. El protocolo mantiene separado ese servicio del resto de la operativa mientras trata de asegurar la red. También indicó que su grupo de retransmisores continuaba funcionando y que los 15 BTC recuperados permanecen protegidos en una cartera multifirma bajo control del equipo.
Symbiosis ha señalado que está contactando directamente con todos los proveedores de liquidez afectados y que prepara un marco de compensación. Por ahora, sin embargo, no ha publicado los criterios de acceso, el método de cálculo de los pagos ni una fecha para comenzar a abonarlos.
Sin balance definitivo ni condiciones de pago
El protocolo ha advertido de que la contabilidad final sigue en curso y que difundirá cifras confirmadas en una próxima actualización. Por tanto, los 15 BTC recuperados y la estimación de 336.000 dólares atribuida por Blockaid a las conversiones observadas no deben interpretarse como el balance definitivo del incidente.
Como incentivo para recuperar los fondos, Symbiosis ofreció al atacante una recompensa equivalente al 20% hasta el 13 de septiembre. Una vez concluido ese periodo, la misma proporción se ofrecería a quien aportase información que condujera a la recuperación. El comunicado no precisó la hora exacta ni la zona horaria del límite.
Los proveedores de liquidez esperan ahora tres datos clave: la exposición confirmada, las reglas de compensación y cualquier cambio en el estado del puente nativo de Bitcoin. Hasta que Symbiosis publique esa información, el alcance económico del ataque y las cantidades que podrían corresponder a los afectados siguen sin estar determinados.
