Security

La piattaforma di restaking di Bitcoin BounceBit ha annunciato che procederà gradualmente alla chiusura della propria blockchain di livello 1 in seguito a un recente exploit. Il progetto, incentrato sul restaking di BTC, interromperà quindi l’operatività della sua chain sottostante. Il team non ha ancora divulgato i dettagli dell’attacco né l’entità delle perdite, ma la decisione di spegnere la L1 rappresenta un duro colpo per i fondamentali del progetto.

Maya Protocol ha sospeso tutte le operazioni dopo aver subito un attacco basato su più vulnerabilità. L’aggressore ha sfruttato diversi bug di sicurezza sottraendo il token nativo CACAO e una quantità significativa di asset cross-chain, mentre l’ammontare delle perdite non è stato reso noto. Il protocollo, una piattaforma decentralizzata di liquidità cross-chain, ha visto colpiti gli asset principali e la liquidità dei pool collegati. L’episodio ha riacceso le preoccupazioni del mercato sulla sicurezza delle infrastrutture cross-chain.

Dopo l’attacco a KelpDAO, il total value locked (TVL) di Aave risulta ancora in calo del 43% e del 67% rispetto al massimo delle ultime 52 settimane. Gli hacker hanno depositato su Aave rsETH sottratto e hanno preso in prestito ETH reale, lasciando Aave e Compound con una stima di circa 246 milioni di dollari di crediti inesigibili complessivi. Il TVL di Aave è sceso da 26,4 miliardi di dollari prima dell’attacco a 14,9 miliardi di dollari, riducendo la capacità di prestito e aumentando la volatilità. Il token AAVE è sceso di circa il 20% il giorno successivo e tratta intorno a 89 dollari, ancora sotto i livelli pre-attacco.

Il broker di criptovalute regolamentato Bits of Gold, il più grande in Israele, ha comunicato una violazione dei dati dopo un accesso non autorizzato a un sistema di analisi di supporto, con potenziale esposizione delle informazioni personali di fino a 250.000 utenti. I dati potrebbero includere nome, numero di identità nazionale, telefono, email, indirizzo IP, dettagli del conto bancario e indirizzi pubblici di wallet crypto; l’azienda afferma che password e immagini dei documenti d’identità non sono state esposte. Pur senza impatti dichiarati su fondi e asset digitali, l’episodio può aumentare il rischio di phishing, impersonificazione e attacchi di ingegneria sociale contro gli utenti.

Il 10 marzo 2026 Aave ha subito una configurazione errata del risk oracle CAPO che ha fissato il tasso di cambio on-chain di wstETH circa il 2,85% sotto il prezzo di mercato, innescando la liquidazione di circa 10.938 wstETH. Il volume delle liquidazioni è stato di circa 26–27 milioni di dollari e i liquidatori hanno catturato un valore pari a circa 499–512 ETH. Il 15 febbraio 2026 Moonwell, a seguito di una modifica di governance, ha configurato in modo errato un wrapper Chainlink OEV usando il rapporto cbETH/ETH come prezzo in USD, facendo risultare cbETH intorno a 1,12 dollari (contro circa 2.200 dollari) e portando alla liquidazione di 1.096,317 cbETH e a circa 1,78 milioni di dollari di bad debt per il protocollo.

Un bridge che collega l’XRP Ledger alla chain tx è stato colpito sfruttando una falla nella logica di rilevamento dei depositi. L’attaccante ha costruito transazioni senza alcun deposito reale, riuscendo però a coniare XRP “bridged” su tx e a riconvertirli in XRP reali. In totale sono stati trasferiti circa 200.000 XRP tramite 94 pagamenti, ciascuno firmato correttamente da 17 dei 28 relayer. Ripple non è stata compromessa, mentre txEcosystem afferma che gli XRP bridged sulla sua chain non sono più completamente coperti.

Harmony Protocol ha dichiarato che il 12 agosto si è verificato un episodio di minting non autorizzato di ONE. Le prime verifiche indicavano un’emissione iniziale di 4000000000 ONE, ma una successiva ricostruzione on-chain ha stimato che circa 3010000000000 ONE siano stati emessi verso quattro wallet degli attaccanti tramite sei transazioni cross-shard falsificate, secondo Odaily. Il team afferma di aver corretto le vulnerabilità e di aver distribuito Mainnet v2026.1.1, mentre valuta un rollback della rete al blocco 92,730,034 precedente all’attacco.

Harmony ha pubblicato un rapporto su una vulnerabilità di minting, indicando come causa principale un bug di replay delle ricevute CrossShard che poteva far elaborare più volte ricevute valide e creare nuovi token senza deduzioni corrispondenti. La prima ondata di emissioni non autorizzate è stata inizialmente confermata in 400 million ONE, mentre l’ammontare complessivo delle emissioni crossshard falsificate è stimato in circa 3.01 trillion ONE, con il team ancora impegnato a verificare i dati. Un patch di emergenza è stato attivato il 12 agosto e la vulnerabilità risulta corretta; i servizi crosschain sono stati sospesi. Il team sta coordinando con validatori ed exchange un rollback allo stato precedente, con obiettivo il blocco 92,730,034, e Shard 0 è stato messo in pausa per supportare l’operazione.

La Foundation ha comunicato un aggiornamento sul bridge e ha dichiarato che tutti gli utenti coinvolti saranno rimborsati integralmente, reintegrando le riserve mancanti di XRP per ripristinare una copertura 1:1 degli XRP bridgiati. Una volta completato il ripristino, le riserve saranno verificabili on-chain, mentre la vulnerabilità è stata identificata e corretta. Il bridge resta in pausa in attesa del completamento di una revisione di sicurezza indipendente, dopo la quale verrà riattivato. La Foundation ha inoltre annunciato un rapporto tecnico completo con i dettagli del meccanismo di ripristino e ha invitato gli utenti a diffidare di chi sostiene di poter recuperare gli asset bridgiati, seguendo solo i canali ufficiali.

DATA Foundation ha prorogato il lock-up dei token detenuti dal team e dai principali investitori, facendo sì che lo sblocco previsto per il 13 agosto non partisse e senza comunicare una nuova data. L’annuncio del 25 giugno parla di un’estensione di 18 mesi, ma non specifica da quando decorra né quali wallet e quantità siano coinvolti. Nella tokenomics originaria, Early Backers e Core Contributors sommano il 41,6% dell’offerta iniziale e sono strutturati per sbloccarsi su 48 mesi.