CRIPTOMOEDAS · BITCOIN

Como um hacker transformou US$ 0,25 em US$ 46 bilhões em Bitcoin falso

Um hacker conseguiu transformar um depósito de apenas 330 satoshis — cerca de US$ 0,25 — em aproximadamente US$ 46,1…

Por
Igor Sales,
Repórter de Cripto e Agro
Bio e blog
15/09/2026 16:23
5 min de leitura

Um hacker conseguiu transformar um depósito de apenas 330 satoshis — cerca de US$ 0,25 — em aproximadamente US$ 46,1 bilhões em tokens falsos ligados ao Bitcoin ao explorar duas falhas no protocolo DeFi Symbiosis. Apesar do valor gigantesco criado artificialmente, o prejuízo real foi muito menor: a plataforma estima preliminarmente perdas de 9,97 BTC, cerca de US$ 770 mil.

O ataque ocorreu em 11 de setembro e atingiu o Bitcoin Bridge da Symbiosis, serviço usado para movimentar valor entre a rede do Bitcoin e outras blockchains. O invasor fez 12 depósitos falsos em cerca de quatro minutos, envolvendo BNB Chain, Ethereum e Rootstock, e conseguiu emitir aproximadamente 46,1 bilhões de syBTC.

O syBTC é um token criado pela Symbiosis para representar Bitcoin em outras redes. Em condições normais, cada unidade emitida precisa estar vinculada a BTC efetivamente depositado na infraestrutura da ponte. No ataque, porém, os novos tokens foram criados sem qualquer Bitcoin correspondente como lastro.

Para colocar a dimensão do erro em perspectiva, os 46,1 bilhões de syBTC equivalem a mais de 2.000 vezes o limite máximo de 21 milhões de bitcoins que poderão existir. Isso não significa, porém, que novos bitcoins tenham sido criados ou que a própria rede do Bitcoin tenha sido comprometida. A falha ocorreu exclusivamente na infraestrutura da Symbiosis.

Duas falhas permitiram criar tokens do nada

Segundo o relatório pós-incidente divulgado pela Symbiosis e analisado pelo CoinDesk, o ataque dependeu da combinação de dois erros de software.

O primeiro fazia com que a ponte verificasse a parte errada de uma transação de Bitcoin ao determinar quem havia enviado os recursos. Com isso, o invasor conseguiu convencer o sistema de que era ao mesmo tempo um depositante autorizado e o administrador da ponte.

Com esse privilégio, o hacker conseguiu definir a taxa mínima cobrada pelo protocolo como um número negativo. A segunda falha apareceu justamente na forma como o contrato fazia essa conta: ao subtrair uma taxa negativa do valor depositado, o programa acabava somando o número.

Na prática, o atacante podia informar números enormes e fazer com que um depósito minúsculo fosse interpretado como uma quantidade gigantesca de BTC. Foi assim que 330 satoshis serviram como ponto de partida para a emissão dos bilhões de syBTC sem lastro.

Antes do ataque, existiam apenas 13,91 syBTC, segundo a Symbiosis. Desse total, 11,26 estavam em pools de liquidez combinados com ativos como WBTC, cbBTC, BTCB e RBTC.

Essa baixa liquidez acabou limitando o tamanho do roubo. Criar US$ 46 bilhões em tokens falsos não significa conseguir transformá-los em US$ 46 bilhões reais. Para extrair dinheiro, o hacker precisava encontrar compradores ou pools com ativos verdadeiros disponíveis para trocar pelos syBTC sem lastro.

Relatos iniciais da empresa de segurança Blockaid indicaram que o invasor conseguiu converter cerca de 4,39 WBTC, equivalentes a aproximadamente US$ 336 mil, pela Uniswap. O cálculo posterior da Symbiosis elevou a estimativa preliminar total de perdas de usuários e provedores de liquidez para 9,97 BTC, ou aproximadamente US$ 770 mil.

Ponte segue fora do ar

Após identificar o ataque, a Symbiosis interrompeu sua ponte nativa de Bitcoin. O serviço continua fora do ar enquanto a empresa reescreve o software ligado ao Bitcoin e contrata uma auditoria independente, além de uma revisão mais ampla de sua infraestrutura. As demais rotas do protocolo não foram afetadas, segundo a equipe.

A companhia também afirmou anteriormente ter recuperado cerca de 15 BTC, que foram transferidos para uma carteira multisig controlada pela equipe. A Symbiosis chegou a oferecer ao invasor uma recompensa de 20% em troca da devolução dos recursos.

A plataforma diz que pretende usar parte dos bitcoins retirados de segurança durante o incidente e um programa separado de compensação para ressarcir os provedores de liquidez afetados. Antes do ataque, a Symbiosis tinha aproximadamente US$ 8 milhões em valor total bloqueado (TVL) e havia processado cerca de US$ 146 milhões em volume pelas pontes nos 30 dias anteriores.

O caso chama atenção porque reforça um dos principais pontos de fragilidade do mercado DeFi: pontes entre blockchains precisam garantir que um ativo representado em uma rede realmente tenha o equivalente bloqueado do outro lado.

A própria Symbiosis ainda chamou atenção para um novo componente do risco. Em seu relatório, o protocolo afirmou que modelos avançados de inteligência artificial estão tornando mais barato encontrar vulnerabilidades em softwares, embora tenha ressaltado que não há evidências de que IA tenha sido usada especificamente neste ataque.

Buscando uma carteira com alto ganho, mas sem o sobe e desce do mercado? A Renda Fixa Digital do MB oferece ativos com ganhos de até 18% ao ano, risco controlado e total segurança para seus investimentos. Conheça agora!

O post Como um hacker transformou US$ 0,25 em US$ 46 bilhões em Bitcoin falso apareceu primeiro em Portal do Bitcoin.

Fonte: Portal do Bitcoin