Allbridge sospende il bridge Core dopo un exploit con flash loan da 1,65 milioni di dollari

Allbridge ha messo in pausa il bridge Core il 20 luglio dopo che un attaccante ha sottratto circa 1,65 milioni di dollari dalle pool di liquidità su Solana, secondo le società di sicurezza blockchain PeckShield e CertiK. Il team ha dichiarato che "Allbridge Core sta affrontando un incidente di sicurezza" e che il protocollo è stato sospeso a titolo precauzionale, invitando i liquidity provider: "Se avete liquidità nelle pool interessate, ritiratela ora". Allbridge Core trasferisce tra diverse blockchain stablecoin native come USDC e USDT tramite pool di liquidità, senza emettere token wrapped. In base a quanto riportato dall'analista onchain Onchain Lens, l'attaccante ha ottenuto un flash loan da 1,12 milioni di dollari dal protocollo di lending su Solana Kamino, quindi ha effettuato rapidamente swap tra USDC e USDT per alterare i rapporti interni delle pool e prelevare gli asset a condizioni favorevoli. I fondi sottratti sono stati poi bridgati verso un indirizzo su Ethereum e distribuiti su ulteriori wallet. Allbridge ha spiegato che la manipolazione ha lasciato le pool sbilanciate, aprendo temporaneamente una finestra di arbitraggio, e ha chiesto ai trader che hanno beneficiato della distorsione di restituire i profitti per risarcire i liquidity provider colpiti. Un déjà-vu del 2023 L'episodio richiama un attacco con flash loan del 2023 che aveva drenato circa 650.000 dollari dalle pool di Allbridge su BNB Chain. Nel postmortem di allora, Allbridge aveva annunciato l'adozione di una singola pool di liquidità per ciascuna chain, un'architettura pensata per rendere strutturalmente impossibile la manipolazione tramite flash loan nella stessa transazione. L'exploit di luglio ha invece preso di mira una pool USDC/USDT operativa in parallelo su Solana, proprio la configurazione multi-stablecoin che la correzione precedente puntava a eliminare. Allbridge ha indicato di aver recuperato la maggior parte dei fondi dopo l'incidente del 2023. Al momento il protocollo non ha pubblicato un rendiconto finale su quanta parte degli 1,65 milioni di dollari resti sotto il controllo dell'attaccante, né ha comunicato una tempistica per la ripresa delle operazioni.