Symbiosis recupera 15 BTC tras el ataque a su puente de Bitcoin

Symbiosis, el protocolo que mueve activos de una cadena a otra, anunció el sábado que ha recuperado 15 BTC del ataque contra su puente de Bitcoin y que ofrece al responsable quedarse con el 20% de lo sustraído si devuelve lo demás. El agujero no estaba en la red de Bitcoin, que siguió funcionando con normalidad: estaba en el contrato que emite syBTC, el recibo que el protocolo entrega en otras redes a quien deposita bitcoin. La firma de seguridad Blockaid calculó que el atacante llegó a acuñar unos 46.100 millones de syBTC, una cantidad sin ninguna relación con el bitcoin realmente custodiado detrás. De todo ese papel sólo logró convertir en dinero aprovechable unos $336.000. La distancia entre esas dos cifras explica buena parte de lo ocurrido, y también por qué el protocolo ha podido sentarse a negociar en lugar de dar por perdido el fondo entero.

Qué se rompió en el contrato de syBTC

Un puente hace algo fácil de contar y difícil de programar: retiene un activo en una cadena y emite en otra un recibo que lo representa. Mientras la contabilidad cuadre, ese recibo vale lo que vale el original. Cuando deja de cuadrar, el recibo no vale nada, y da igual que el bitcoin original siga ahí. Lo que se conoce del fallo procede del rastro en cadena que analizó Blockaid: el contrato aceptó emitir syBTC sin que hubiera detrás un depósito equivalente, y lo hizo a una escala absurda. Miles de millones de unidades de un activo cuyo suministro real está limitado por definición.

No es una novedad del sector. Los puentes concentran fondos de mucha gente en un único contrato y llevan años siendo el punto más caro de toda la infraestructura. En Jukipto contamos hace poco un caso emparentado, el del bitcoin federado de Liquid, donde el problema tampoco fue la cadena de Bitcoin sino el respaldo de la versión envuelta.

Acuñar una fortuna falsa y cobrar una minucia

Aquí está el detalle que separa el titular del daño real. Un atacante puede crear de la nada cuantos tokens quiera si el contrato se lo permite, pero sólo cobra lo que alguien esté dispuesto a comprarle. Y lo que hay dispuesto a comprar es la liquidez de los pares donde cotiza ese token: unas decenas o centenares de miles de dólares en un activo de nicho. En cuanto empieza a vender, el precio se desploma contra él. Por eso los 46.100 millones de syBTC se quedaron en unos $336.000 realizados, según el cálculo de Blockaid.

Quien paga esa factura no es el atacante ni el protocolo: son los proveedores de liquidez que tenían fondos en esos pares y se han quedado con tokens sin respaldo a cambio del dinero bueno que aportaron.

La recompensa del 20% es una negociación, no un perdón

Ofrecer al atacante una parte de lo robado se ha convertido en un procedimiento habitual: el protocolo publica un mensaje en cadena con un porcentaje y un plazo, y el otro lado decide si acepta. Symbiosis ha puesto el listón en el 20%. La lógica es fría: recuperar de inmediato cuatro quintas partes suele ser mejor que perseguir durante años a alguien que quizá esté en una jurisdicción donde no llega ninguna citación. Los 15 BTC ya recuperados dan a la oferta un punto de partida.

Conviene no confundir el gesto con una amnistía. Un acuerdo entre la víctima y quien la ha atacado no borra por sí mismo la vía penal, ni en España ni en la mayoría de los países donde estos protocolos tienen usuarios. Es un cálculo de recuperación de fondos, no un indulto.

El bitcoin que vive fuera de Bitcoin no está en tu monedero

Para un usuario en España hay una lectura práctica, y no tiene que ver con el precio. Cuando alguien mueve bitcoin a otra red a través de un puente, deja de tener bitcoin y pasa a tener un derecho de cobro contra un contrato. Un monedero físico protege las claves de lo que está en tu poder; no protege lo que has depositado en el contrato de un tercero, porque ahí la firma la diste tú voluntariamente. Es la diferencia entre custodia y exposición, y explicamos dónde está la frontera en nuestra guía de billeteras frías y calientes y en la lista de seguridad ordenada por impacto.

Hay además un hueco regulatorio que conviene tener presente. MiCA ordena a las plataformas que custodian y cambian criptoactivos, y por eso un usuario español que opera en una plataforma autorizada sabe a qué supervisor acudir. Un protocolo sin entidad detrás no encaja en ese esquema: no hay registro, no hay reclamación ni hay fondo de garantía. Lo único que hay es el contrato, y lo que el contrato haga.

Lo que queda por ver en los próximos días es si el atacante acepta la oferta y devuelve el resto, cuánto se acaba repartiendo entre los afectados y cuándo vuelve a abrirse el puente.

Fuentes

• Symbiosis says it recovered 15 BTC after Bitcoin bridge exploit, offers attacker 20% bounty — The Block, 13/09/2026

Este artículo no es una recomendación de inversión. Las criptomonedas son un activo volátil y sin cobertura de garantía de depósitos: puedes perder todo el dinero invertido.