Hacker crea 46 miliardi di token BTC falsi su Symbiosis con appena $0,25

Tutte le notizie

Primo piano

Scelte della redazione

Azioni

Criptovalute

Economia

Valute

Materie prime

Imprese e patrimoni

Voci di mercato

Pavlo Kot

16.09.2026

Hacker crea 46 miliardi di token BTC falsi su Symbiosis con appena $0,25 — Hacker crea 46 miliardi di token BTC falsi con $0,25

Un hacker ha sfruttato due vulnerabilità nel Bitcoin Bridge di Symbiosis per creare circa 46,1 miliardi di syBTC non garantiti. All'aggressore è bastato un deposito di 330 satoshi, del valore di circa $0,25, per lanciare l'attacco.

Questo articolo è stato tradotto dall'originale. Leggi la versione originale del nostro corrispondente qui.

Secondo il post-mortem degli sviluppatori, il numero di token creati era oltre 2,000 volte superiore all'offerta massima di Bitcoin, pari a 21 milioni di monete. Tuttavia, le perdite effettive sono state molto inferiori: Symbiosis ha stimato preliminarmente che i fornitori di liquidità e gli utenti abbiano perso 9,97 BTC, ovvero circa $770.000.

Symbiosis consente agli utenti di scambiare asset tra diverse blockchain, mentre syBTC rappresenta Bitcoin che dovrebbe essere garantito dagli asset detenuti dal sistema. Prima dell'attacco, l'offerta di syBTC ammontava a soli 13,91 token, di cui 11,26 detenuti in pool di liquidità abbinati a WBTC, cbBTC, BTCB e RBTC.

Due bug hanno consentito la creazione di miliardi di syBTC

Secondo il rapporto sull'incidente di Symbiosis, la prima vulnerabilità riguardava il meccanismo utilizzato per identificare il mittente di una transazione Bitcoin. Il bridge analizzava la parte sbagliata della transazione, consentendo all'aggressore di far sì che il sistema lo riconoscesse sia come utente autorizzato sia come amministratore del bridge.

Dopo aver ottenuto privilegi elevati, l'hacker ha impostato la commissione minima al di sotto dello zero. È quindi entrato in gioco un secondo bug: nel calcolare l'importo, il sistema sottraeva la commissione negativa dal deposito, aggiungendola di fatto.

Ciò ha consentito di trasformare i 330 satoshi iniziali in un importo arbitrariamente elevato all'interno del sistema. I dati blockchain mostrano che l'aggressore ha elaborato 12 depositi falsi su BNB Chain, Ethereum e Rootstock in quattro minuti, creando infine circa 46,1 miliardi di syBTC.

Tuttavia, la creazione di miliardi di token non garantiti non ha prodotto un importo equivalente di Bitcoin reali. L'hacker ha potuto estrarre solo gli asset reali disponibili nelle pool di liquidità, limitando le perdite effettive a meno di 10 BTC.

Symbiosis chiude il Bitcoin Bridge

Symbiosis stima il valore totale degli asset bloccati nel protocollo a circa $8 milioni. Negli ultimi 30 giorni completi, sono transitati attraverso il bridge circa $146 milioni.

Il progetto ha dichiarato di voler compensare i fondi rubati utilizzando parte dei Bitcoin messi al sicuro durante l'attacco, insieme a meccanismi di rimborso separati per i fornitori di liquidità coinvolti. Il Bitcoin Bridge rimane offline mentre il team riscrive il software e lo prepara per un audit indipendente.

Il giorno precedente, il proprietario di un wallet Gnosis Safe ha perso circa 2,900 rsETH per un valore di $7,8 milioni a causa di una vulnerabilità nel meccanismo di autorizzazione di uno smart contract di supporto. I ricercatori hanno scoperto che la vulnerabilità non risiedeva nei contratti principali di Safe, ma in un componente di terze parti che l'utente aveva autorizzato ad accedere agli asset.

In quel caso, un controllo delle autorizzazioni difettoso ha consentito l'esecuzione di una transazione che coinvolgeva gli asset del wallet. L'incidente ha fornito un ulteriore esempio di come una vulnerabilità in un contratto collegato a un wallet possa causare perdite senza che il wallet stesso venga compromesso.

In precedenza, abbiamo riferito che i progetti crypto hanno perso quasi $1 miliardo a causa degli hack nella prima metà del 2026. I dati includevano exploit dei protocolli e altri incidenti di sicurezza che hanno portato al furto di asset digitali.

Questo materiale può contenere opinioni di terze parti, nessuno dei dati e delle informazioni su questa pagina web costituisce consulenza sugli investimenti secondo il nostro Disclaimer. Sebbene aderiamo a una rigorosa Integrità Editoriale, questo post può contenere riferimenti a prodotti dei nostri partner.

Ti è piaciuto l'articolo?