Symbiosis ha recuperado aproximadamente 15 BTC después de que un atacante explotara su puente nativo de Bitcoin, pero los proveedores de liquidez afectados todavía no conocen las condiciones de una eventual compensación. El protocolo mantiene pausado ese puente mientras ultima el balance del incidente y se acerca el cierre, aún sin hora ni zona horaria especificadas, de la recompensa ofrecida al atacante.
Una vulnerabilidad en el puente de Bitcoin
El ataque se produjo alrededor de las 04:28 UTC del 11 de septiembre, según la comunicación publicada por Symbiosis. La compañía sostiene que el problema quedó limitado al Bitcoin Bridge y que el resto de sus rutas y componentes continuaron operativos. En concreto, señaló que las conexiones entre cadenas EVM, TRON y TON no se vieron afectadas, mientras su grupo de retransmisores siguió funcionando para proteger la red.
La firma de seguridad Blockaid identificó una transacción que el sistema BridgeV2 de Symbiosis aceptó como válida. A partir de ella, el atacante acuñó aproximadamente 262 unidades básicas de syBTC, una representación sintética de Bitcoin, en un monedero recién creado en BNB Chain.
El mismo beneficiario vendió cerca de 4,39 WBTC en Ethereum y obtuvo unos 336.000 dólares en WBTC en el momento de la alerta de Blockaid. Esa cantidad refleja únicamente el valor que la firma observó convertir al atacante. No equivale necesariamente a la pérdida final de Symbiosis ni permite determinar por sí sola la exposición total de los proveedores de liquidez.
Los 15 BTC recuperados no cierran el balance
Symbiosis ha indicado que los aproximadamente 15 BTC recuperados están depositados en una cartera multifirma bajo control del equipo. El protocolo todavía está completando la contabilidad del incidente y ha advertido de que publicará cifras confirmadas en una actualización posterior.
La recuperación, por tanto, no resuelve todavía la situación de quienes aportaban liquidez a las operaciones afectadas. Symbiosis asegura que está contactando directamente con cada proveedor perjudicado y que prepara un marco de compensación, pero no ha comunicado quién podrá acogerse a él, cómo se calcularían los pagos ni cuándo empezarían.
Mientras no se publiquen esos datos, tanto los 15 BTC recuperados como la estimación de Blockaid sobre los fondos convertidos deben entenderse como cifras parciales, no como un balance definitivo de las pérdidas.
El puente sigue detenido, pero vuelven otras rutas
En un primer momento, Symbiosis suspendió los intercambios relacionados con Bitcoin para desplegar actualizaciones. Posteriormente comunicó que los intercambios de Bitcoin canalizados a través de Chainflip y THORChain habían vuelto a estar disponibles. El puente nativo de Bitcoin de Symbiosis, sin embargo, continuaba pausado.
La diferencia es relevante para los usuarios: pueden acceder a rutas alternativas gestionadas mediante esos socios, pero no utilizar el puente afectado. El protocolo no ha anunciado cuándo retomará su funcionamiento.
Symbiosis también ofreció al atacante una recompensa del 20% por devolver los fondos o colaborar en su recuperación, con una ventana que termina el 13 de septiembre. Si no se produce un acuerdo dentro de ese periodo, el mismo porcentaje se ofrecerá a quien facilite información que permita recuperar los activos. La comunicación no fija una hora concreta ni una zona horaria para el vencimiento.
Los proveedores de liquidez esperan ahora tres datos clave: el importe confirmado de las pérdidas y de la exposición, los criterios de compensación y cualquier cambio en el estado del puente nativo. Hasta que Symbiosis publique esa información, el alcance económico del ataque permanece abierto.
