Hacker crea 46.000 millones de tokens BTC falsos en Symbiosis con solo $0,25

Todas las noticias

Noticias destacadas

Selecciones del editor

Acciones

Criptomonedas

Economía

Divisas

Materias Primas

Negocios y Riqueza

Voces del mercado

Pavlo Kot

16.09.2026

Hacker crea 46.000 millones de tokens BTC falsos en Symbiosis con solo $0,25 — Hacker crea 46.000 millones de tokens BTC falsos con $0,25

Un hacker explotó dos fallos en Bitcoin Bridge de Symbiosis para crear alrededor de 46.100 millones de syBTC sin respaldo. El atacante solo necesitó un depósito de 330 satoshis, valorado en alrededor de $0,25, para lanzar el ataque.

Este artículo ha sido traducido del original. Lea la versión original de nuestro corresponsal aquí.

Según el informe post mortem de los desarrolladores, la cantidad de tokens creados fue más de 2,000 veces superior a la oferta máxima de Bitcoin de 21 millones de monedas. Sin embargo, las pérdidas reales fueron mucho menores: Symbiosis estimó preliminarmente que los proveedores de liquidez y los usuarios perdieron 9,97 BTC, o alrededor de $770.000.

Symbiosis permite a los usuarios intercambiar activos entre distintas blockchains, mientras que syBTC representa Bitcoin que supuestamente está respaldado por activos mantenidos por el sistema. Antes del ataque, la oferta de syBTC se situaba en solo 13,91 tokens, de los cuales 11,26 se mantenían en pools de liquidez emparejados con WBTC, cbBTC, BTCB y RBTC.

Dos bugs permitieron crear miles de millones de syBTC

Según el informe de incidentes de Symbiosis, la primera vulnerabilidad estaba en el mecanismo utilizado para identificar al remitente de una transacción de Bitcoin. El bridge analizó la parte equivocada de la transacción, lo que permitió al atacante hacer que el sistema lo reconociera tanto como usuario autorizado como administrador del bridge.

Tras obtener privilegios elevados, el hacker fijó la comisión mínima por debajo de cero. Entonces entró en juego un segundo bug: al calcular el importe, el sistema restaba la comisión negativa del depósito, sumándola en la práctica.

Esto permitió convertir los 330 satoshis iniciales en una cantidad arbitrariamente grande dentro del sistema. Los datos de blockchain muestran que el atacante procesó 12 depósitos falsos en BNB Chain, Ethereum y Rootstock en cuatro minutos, creando finalmente alrededor de 46.100 millones de syBTC.

Sin embargo, crear miles de millones de tokens sin respaldo no produjo una cantidad equivalente de Bitcoin reales. El hacker solo pudo extraer los activos reales disponibles en los pools de liquidez, lo que limitó las pérdidas reales a menos de 10 BTC.

Symbiosis cierra Bitcoin Bridge

Symbiosis estima el valor total de los activos bloqueados en el protocolo en alrededor de $8 millones. Durante los últimos 30 días completos, aproximadamente $146 millones pasaron por el bridge.

El proyecto indicó que planea compensar los fondos robados utilizando parte de los Bitcoin trasladados a un lugar seguro durante el ataque, junto con mecanismos de reembolso independientes para los proveedores de liquidez afectados. Bitcoin Bridge permanece desconectado mientras el equipo reescribe el software y lo prepara para una auditoría independiente.

Un día antes, el propietario de una wallet Gnosis Safe perdió alrededor de 2,900 rsETH valorados en $7,8 millones debido a un fallo en el mecanismo de autorización de un smart contract auxiliar. Los investigadores descubrieron que la vulnerabilidad no estaba en los contratos principales de Safe, sino en un componente de terceros al que el usuario había autorizado el acceso a los activos.

En ese caso, una comprobación de permisos defectuosa permitió ejecutar una transacción que involucraba los activos de la wallet. El incidente ofreció otro ejemplo de cómo una vulnerabilidad en un contrato conectado a una wallet puede causar pérdidas sin que la propia wallet se vea comprometida.

Anteriormente, informamos de que los proyectos cripto perdieron casi $1,000 millones por hackeos en la primera mitad de 2026. Las cifras incluían exploits de protocolos y otros incidentes de seguridad que resultaron en el robo de activos digitales.

Este material puede contener opiniones de terceros, ninguno de los datos e información en esta página web constituye asesoramiento de inversión según nuestro Aviso Legal. Aunque nos adherimos a una estricta Integridad Editorial, esta publicación puede contener referencias a productos de nuestros socios.

¿Te gustó el artículo?