Tre progetti cripto hanno subito oltre 11 milioni di dollari di danni complessivi il 24 settembre, con Payy Network, Duelbits e Meter Network colpiti attraverso vettori d’attacco differenti.
Punti chiave:
- Payy Network ha perso circa 1,8 milioni di dollari dopo che il suo bridge su Ethereum è stato svuotato, mentre Duelbits ha riportato perdite per circa 7 milioni.
- Gli attaccanti di Meter hanno coniato circa 2,3 milioni di dollari in asset non collateralizzati, liquidandone una parte su PancakeSwap.
- Gli episodi hanno messo in luce rischi su bridge, hot wallet e sistemi di verifica dei token.
Attacchi a Payy e Duelbits
Payy Network, piattaforma on-chain per pagamenti salariali e gestione di tesoreria, ha sospeso l’operatività dopo l’attacco al bridge su Ethereum (ETH). Il ricercatore on-chain Specter ha tracciato i trasferimenti sospetti attraverso il bridge e ha spiegato che l’attaccante ha usato Railgun per finanziare l’operazione, per poi convertire circa 1,8 milioni di dollari in USD Coin (USDC) in Ethereum. Payy ha precisato che i fondi drenati erano depositi non-custodial riconducibili a Payy Network e agli utenti di Payy Wallet.
Successivamente è stata colpita Duelbits: PeckShield ha inizialmente stimato le perdite in 4,3 milioni di dollari, prima che Specter individuasse ulteriori indirizzi compromessi su Bitcoin (BTC) e Solana (SOL). Un cofondatore di Duelbits ha poi quantificato il danno complessivo in circa 7 milioni di dollari, assicurando che “i fondi degli utenti sono al sicuro”.
L’incidente di Meter è avvenuto con una dinamica diversa. Secondo Blockaid, un attaccante ha sfruttato Meter Passport per coniare circa 2,3 milioni di dollari di asset non coperti da collaterale, vendendone una parte su PancakeSwap, mentre il token MTR (MTR) è crollato di quasi l’80% e MTRG (MTRG) ha perso circa il 75%.
Da leggere anche: Rally di Ethereum appeso a quota 2.800 dollari dopo il recupero della media mobile a 200 giorni
Il contesto di sicurezza secondo Blockaid
I ricercatori di sicurezza hanno evidenziato punti di fallimento diversi nei tre casi, escludendo l’ipotesi di un unico exploit comune. Payy ha poi reso noto che la prima analisi delle cause radice indica che la violazione “NON è stata dovuta a una chiave compromessa, a social engineering o a un exploit della nostra infrastruttura off-chain”, mentre le ricostruzioni sull’attacco a Duelbits rimandano più probabilmente alla compromissione di una chiave privata. Le conclusioni di Blockaid sul caso Meter, invece, si concentrano sulla possibilità di coniare token non autorizzati attraverso il bridge.
Il cluster di attacchi è arrivato mentre Bitget indagava su trasferimenti non autorizzati di asset, inizialmente stimati in circa 351,6 milioni di dollari, sospendendo temporaneamente i prelievi per verifiche di sicurezza. Il trading e i depositi sono proseguiti e l’exchange ha dichiarato che i saldi mostrati agli utenti restavano corretti. Parallelamente, KelpDAO ha citato in giudizio LayerZero e il cofondatore Brian Pellegrino per un hack da 292 milioni di dollari, sostenendo che rischi non divulgati e lacune tecnologiche avrebbero causato la perdita.
Gli incidenti del 24 settembre hanno anche riacceso preoccupazioni di sicurezza già note per due dei progetti coinvolti. Duelbits aveva perso circa 4,6 milioni di dollari in un attacco del 2024 che CertiK ha collegato a una possibile fuga di chiavi private, mentre Meter è stata vittima di un exploit sul proprio bridge da circa 4,4 milioni di dollari nel 2022.
Prossima lettura: Michael Saylor vuole che le banche trasformino Bitcoin in collaterale di uso quotidiano
