El protocolo de interoperabilidad Symbiosis ha recuperado aproximadamente 15 BTC tras la explotación de su puente nativo de Bitcoin, aunque todavía no ha explicado cuánto recibirán los proveedores de liquidez afectados ni cuándo comenzaría una eventual compensación. La ventana de recompensa ofrecida al atacante termina el 13 de septiembre, pero el protocolo no ha precisado la hora ni la zona horaria del cierre.
El incidente se produjo alrededor de las 04:28 UTC del 11 de septiembre, según el comunicado publicado por Symbiosis. La compañía asegura que la vulnerabilidad se limitó a su Bitcoin Bridge y que el resto de rutas y componentes continuaron operativos. En concreto, señaló como no afectados los canales que conectan redes EVM, TRON y TON.
Una emisión masiva de syBTC en BNB Chain
La firma de seguridad Blockaid identificó una transacción aceptada como si hubiera sido firmada por el sistema BridgeV2 de Symbiosis. Esa operación permitió acuñar aproximadamente 262 unidades brutas de syBTC, una representación sintética de bitcoin, en una cartera recién creada en BNB Chain.
La cifra describe las unidades emitidas por el contrato y no equivale por sí sola a la pérdida final del protocolo. El número total de tokens afectados, su respaldo y la exposición de cada proveedor de liquidez todavía deben quedar reflejados en el balance definitivo que Symbiosis ha anunciado para una próxima actualización.
Blockaid también informó de que el mismo beneficiario vendió unos 4,39 WBTC en Ethereum, con unos ingresos aproximados de 336.000 dólares en el momento de la alerta. Ese importe recoge únicamente el valor que la firma observó convertir al atacante. No establece ni la pérdida definitiva de Symbiosis ni el impacto total sobre los proveedores de liquidez.
El puente nativo sigue detenido
Tras detectar el ataque, Symbiosis comunicó inicialmente que las operaciones de intercambio relacionadas con bitcoin no estaban disponibles mientras desplegaba actualizaciones. En una comunicación posterior distinguió entre su puente nativo y las rutas operadas mediante terceros.
Los intercambios de bitcoin canalizados a través de Chainflip y THORChain volvieron a estar disponibles, según el protocolo. En cambio, el Bitcoin Bridge propio de Symbiosis permanecía pausado. La diferencia es relevante: los usuarios pueden seguir accediendo a rutas alternativas, pero no utilizar el componente que fue objeto de la explotación.
Symbiosis afirmó que su grupo de retransmisores continuaba activo para proteger la red y que los 15 BTC recuperados estaban custodiados en una cartera multifirma bajo control del equipo. También indicó que estaba contactando directamente con todos los proveedores de liquidez afectados y preparando un marco de compensación.
Sin cifras definitivas ni criterios de pago
Por ahora, el protocolo no ha detallado quién podrá optar a una compensación, cómo se calculará el importe correspondiente a cada afectado ni cuándo podrían efectuarse los pagos. Tampoco ha publicado todavía la contabilidad final del incidente. Por ello, los 15 BTC recuperados y la estimación de 336.000 dólares en conversiones observadas por Blockaid no deben interpretarse como el balance definitivo de pérdidas.
Symbiosis ofreció al atacante una recompensa equivalente al 20% de los fondos recuperados si colaboraba como hacker ético antes del 13 de septiembre. Una vez superado ese plazo, la misma proporción se ofrecería a quien aportase información que condujera a la recuperación. El comunicado no fija un momento exacto para el final de la oferta.
Los proveedores de liquidez quedan así pendientes de tres anuncios: la exposición confirmada, las reglas de compensación y la eventual reapertura del puente nativo de Bitcoin.
