Un bridge cross‑chain che collega la rete Alephium (ALPH) a Ethereum (ETH) e alla BNB Chain ha perso circa 815.000 $ in circa sette minuti dopo che gli aggressori hanno forzato messaggi falsificati attraverso il suo backend.
Punti chiave:
- Gli aggressori hanno svuotato circa 815.000 $ dal TokenBridge di Alephium su due chain in circa sette minuti.
- Hanno mintato 13,76 milioni di wrapped ALPH non coperti, più dell’intera precedente offerta wrapped del bridge.
- Alephium imputa la colpa a un difetto backend off‑chain, non a chiavi dei guardian rubate, e si è impegnata a rimborsare gli utenti colpiti.
TokenBridge di Alephium svuotato rapidamente
La società di sicurezza Blockaid ha rilevato per prima l’attacco il 30 maggio, con l’unità di risposta volontaria SEAL 911 che si è unita rapidamente alle indagini. L’attaccante ha fatto passare approvazioni di trasferimento falsificate attraverso il TokenBridge sia su Ethereum che su BNB Chain, ha svuotato le riserve e ha mintato nuovi token.
L’intera sequenza ha richiesto circa sette minuti.
Su Ethereum, il ladro ha prelevato 200.967 Tether (USDT), 17.594 USD Coin (USDC) e quantità minori di Wrapped Ether e Wrapped Bitcoin, mentre sul lato BNB Chain sono stati sottratti 36.750 USDT e 24,386 Wrapped BNB. Lo stesso wallet ha anche mintato 13,76 milioni di wrapped ALPH senza alcun vero ALPH bloccato a garanzia.
Quel bottino ha superato l’intera precedente offerta wrapped del bridge, lasciando l’attaccante in possesso di coin creati dal nulla.
Leggi anche: Cardano Tops Every Major Chain In Stablecoin Growth, Up 61% In A Week
Difetto off‑chain, non chiavi rubate
I primi resoconti attribuivano il breach a tre delle quattro chiavi dei guardian compromesse, ma Alephium in seguito ha dichiarato che la vera causa era un bug off‑chain nel backend del bridge, e Blockaid ha ammorbidito la sua prima valutazione di conseguenza. Il progetto utilizza un fork privato del sistema di messaggistica Wormhole con solo quattro firmatari, quindi lo stesso difetto potrebbe annidarsi in altri bridge costruiti su codice simile.
Il cambiamento nella causa ridefinisce l’intero incidente.
Alephium promette di rimborsare gli utenti
Alephium ha bloccato il bridge, ha esortato i detentori a ritirare la liquidità dalle pool ALPH e ha promesso un percorso di recupero per gli utenti i cui coin sono rimasti bloccati all’interno. Con il bridge offline, l’attaccante non può reinviare attraverso di esso i wrapped ALPH non coperti, e i fondi rubati risultavano immobili nel wallet al momento della divulgazione. Il team afferma di valutare ogni opzione per risarcire integralmente gli utenti colpiti, con un post‑mortem completo atteso per questa settimana.
Il breach prolunga un periodo durissimo per i bridge cross‑chain, l’infrastruttura che trasporta asset tra blockchain separate.
Un recente attacco al Verus-Ethereum bridge drained about $11.58 million, e la tattica dei messaggi falsificati riecheggia la perdita di oltre 320 milioni subita da Wormhole anni prima. Una stima pegged il mese di maggio in oltre 52 milioni di dollari di crypto rubate nel settore.
Da leggere dopo: ETH Loses Its Last Floor And Stares Down A Drop Toward $1,800