Um depósito de só US$ 0,25 foi usado para “criar” US$ 46,1 bilhões em tokens ligados ao Bitcoin. 🤯🧵 Mas calma: nenhum BTC novo surgiu e a rede do Bitcoin não foi hackeada. O problema estava na ponte DeFi da Symbiosis.

Imagem indisponível

A ponte afetada é a Bitcoin Bridge da Symbiosis. Pontes permitem usar valor de uma blockchain em outra: você deposita BTC e recebe um token equivalente, o syBTC, em redes como Ethereum, BNB Chain ou Rootstock.

Em condições normais, 1 syBTC deveria ter BTC real como garantia. É o chamado lastro: para cada token emitido, precisa existir Bitcoin depositado na infraestrutura da ponte. No ataque, bilhões de syBTC foram emitidos sem essa reserva.

Imagem indisponível

O invasor explorou dois erros de software. Primeiro, a ponte checava a parte errada de uma transação de Bitcoin ao validar o remetente. Isso permitiu que ele se passasse por depositante autorizado e administrador do sistema.

Com esse privilégio, ele definiu a taxa mínima da ponte como um número negativo. A segunda falha estava no cálculo: ao subtrair uma taxa negativa, o contrato somava o valor. Um depósito minúsculo passava a parecer gigantesco.

Imagem indisponível

Foram 12 depósitos falsos em cerca de quatro minutos, a partir de 330 satoshis — aproximadamente US$ 0,25. O resultado contábil: 46,1 bilhões de syBTC. Antes disso, existiam apenas 13,91 syBTC na ponte.

Esse número equivale a mais de 2.000 vezes o teto de 21 milhões de BTC. Mas é uma emissão falsa dentro da Symbiosis, não na blockchain do Bitcoin. O prejuízo estimado é bem menor: 9,97 BTC, perto de US$ 770 mil.

Imagem indisponível

A lição é direta: em cripto, a segurança não depende só da blockchain principal. Pontes e contratos inteligentes concentram riscos e exigem auditorias, limites de emissão e monitoramento contínuo. Código também precisa de freios de segurança.