Security

The Sandbox (SAND) ha pubblicato i risultati dell’indagine sull’incidente di sicurezza che ha coinvolto di recente il suo bridge. L’attaccante ha sfruttato una funzione di configurazione del contratto del token SAND, che su Base e BNB Chain fungeva anche da integrazione del bridge LayerZero, registrandosi come unico verificatore dei messaggi in ingresso. In questo modo ha sottratto circa 14,74 milioni di SAND dal vault su Ethereum, pari a circa lo 0,5% della supply massima fissa di 3 miliardi. Il team afferma di aver completato le analisi forensi on-chain e di aver contenuto rapidamente l’impatto.

Il 22 agosto Kiichain è stata colpita da un attacco legato a vulnerabilità del modulo Cosmos EVM, con una perdita di circa 1.48亿 KII. Il team ha sospeso d’urgenza la chain per evitare ulteriori danni e circa 8070万 KII risultano ancora congelati sull’indirizzo dell’attaccante e quindi recuperabili dopo il riavvio. Il resto dei fondi sarebbe stato in gran parte bridgeato su BNB Chain e venduto, mentre altri 300万 KII sono stati inviati a KuCoin e per questi è stata avviata una richiesta di congelamento. Kiichain sta correggendo le falle, preparando l’upgrade e il riavvio, e prevede di migrare gli asset recuperabili e di introdurre un limite alle operazioni di bridge.

La piattaforma di restaking di Bitcoin BounceBit ha annunciato che procederà gradualmente alla chiusura della propria blockchain di livello 1 in seguito a un recente exploit. Il progetto, incentrato sul restaking di BTC, interromperà quindi l’operatività della sua chain sottostante. Il team non ha ancora divulgato i dettagli dell’attacco né l’entità delle perdite, ma la decisione di spegnere la L1 rappresenta un duro colpo per i fondamentali del progetto.

Maya Protocol ha sospeso tutte le operazioni dopo aver subito un attacco basato su più vulnerabilità. L’aggressore ha sfruttato diversi bug di sicurezza sottraendo il token nativo CACAO e una quantità significativa di asset cross-chain, mentre l’ammontare delle perdite non è stato reso noto. Il protocollo, una piattaforma decentralizzata di liquidità cross-chain, ha visto colpiti gli asset principali e la liquidità dei pool collegati. L’episodio ha riacceso le preoccupazioni del mercato sulla sicurezza delle infrastrutture cross-chain.

Dopo l’attacco a KelpDAO, il total value locked (TVL) di Aave risulta ancora in calo del 43% e del 67% rispetto al massimo delle ultime 52 settimane. Gli hacker hanno depositato su Aave rsETH sottratto e hanno preso in prestito ETH reale, lasciando Aave e Compound con una stima di circa 246 milioni di dollari di crediti inesigibili complessivi. Il TVL di Aave è sceso da 26,4 miliardi di dollari prima dell’attacco a 14,9 miliardi di dollari, riducendo la capacità di prestito e aumentando la volatilità. Il token AAVE è sceso di circa il 20% il giorno successivo e tratta intorno a 89 dollari, ancora sotto i livelli pre-attacco.

Il broker di criptovalute regolamentato Bits of Gold, il più grande in Israele, ha comunicato una violazione dei dati dopo un accesso non autorizzato a un sistema di analisi di supporto, con potenziale esposizione delle informazioni personali di fino a 250.000 utenti. I dati potrebbero includere nome, numero di identità nazionale, telefono, email, indirizzo IP, dettagli del conto bancario e indirizzi pubblici di wallet crypto; l’azienda afferma che password e immagini dei documenti d’identità non sono state esposte. Pur senza impatti dichiarati su fondi e asset digitali, l’episodio può aumentare il rischio di phishing, impersonificazione e attacchi di ingegneria sociale contro gli utenti.

Il 10 marzo 2026 Aave ha subito una configurazione errata del risk oracle CAPO che ha fissato il tasso di cambio on-chain di wstETH circa il 2,85% sotto il prezzo di mercato, innescando la liquidazione di circa 10.938 wstETH. Il volume delle liquidazioni è stato di circa 26–27 milioni di dollari e i liquidatori hanno catturato un valore pari a circa 499–512 ETH. Il 15 febbraio 2026 Moonwell, a seguito di una modifica di governance, ha configurato in modo errato un wrapper Chainlink OEV usando il rapporto cbETH/ETH come prezzo in USD, facendo risultare cbETH intorno a 1,12 dollari (contro circa 2.200 dollari) e portando alla liquidazione di 1.096,317 cbETH e a circa 1,78 milioni di dollari di bad debt per il protocollo.

Un bridge che collega l’XRP Ledger alla chain tx è stato colpito sfruttando una falla nella logica di rilevamento dei depositi. L’attaccante ha costruito transazioni senza alcun deposito reale, riuscendo però a coniare XRP “bridged” su tx e a riconvertirli in XRP reali. In totale sono stati trasferiti circa 200.000 XRP tramite 94 pagamenti, ciascuno firmato correttamente da 17 dei 28 relayer. Ripple non è stata compromessa, mentre txEcosystem afferma che gli XRP bridged sulla sua chain non sono più completamente coperti.

Harmony Protocol ha dichiarato che il 12 agosto si è verificato un episodio di minting non autorizzato di ONE. Le prime verifiche indicavano un’emissione iniziale di 4000000000 ONE, ma una successiva ricostruzione on-chain ha stimato che circa 3010000000000 ONE siano stati emessi verso quattro wallet degli attaccanti tramite sei transazioni cross-shard falsificate, secondo Odaily. Il team afferma di aver corretto le vulnerabilità e di aver distribuito Mainnet v2026.1.1, mentre valuta un rollback della rete al blocco 92,730,034 precedente all’attacco.

Harmony ha pubblicato un rapporto su una vulnerabilità di minting, indicando come causa principale un bug di replay delle ricevute CrossShard che poteva far elaborare più volte ricevute valide e creare nuovi token senza deduzioni corrispondenti. La prima ondata di emissioni non autorizzate è stata inizialmente confermata in 400 million ONE, mentre l’ammontare complessivo delle emissioni crossshard falsificate è stimato in circa 3.01 trillion ONE, con il team ancora impegnato a verificare i dati. Un patch di emergenza è stato attivato il 12 agosto e la vulnerabilità risulta corretta; i servizi crosschain sono stati sospesi. Il team sta coordinando con validatori ed exchange un rollback allo stato precedente, con obiettivo il blocco 92,730,034, e Shard 0 è stato messo in pausa per supportare l’operazione.