Un attaccante ha prosciugato in 11 minuti oltre 9 milioni di dollari dalle pool di liquidità su XPR Network (XPR), sfruttando un contratto di swap che accettava importi di prelievo negativi.
Punti chiave:
- Un attaccante ha sottratto oltre 9 milioni di dollari dalle pool di liquidità di XPR Network in circa 11 minuti.
- La falla era in una funzione di prelievo che accettava valori negativi, permettendo di gonfiare i saldi interni prima di incassare token reali.
- I produttori di blocchi hanno corretto il contratto e sequestrato circa 1,80 miliardi di XPR, mantenendo la maggior parte della fornitura rubata on-chain.
L’exploit sul contratto di swap di XPR Network
L’attacco ha preso di mira proton.swaps, il contratto di swap on-chain della rete, da cui l’attaccante ha prelevato circa 1,56 miliardi di XPR, per un valore approssimativo di 4,03 milioni di dollari. La funzione di prelievo accettava valori negativi: questo ha consentito all’attaccante di gonfiare un saldo interno e poi riscattare token reali a fronte di tale saldo, ripetendo lo schema su pool di stablecoin, asset bridged e protocolli di lending finché il totale non ha superato i 9 milioni di dollari.
Circa 563 milioni di XPR, pari a circa 1,46 milioni di dollari, sono poi transitati attraverso il protocollo di lending dopo che l’attaccante ha preso in prestito contro le stablecoin sottratte, portando il totale dei token coinvolti a circa 2,12 miliardi, ovvero il 6,5% dell’offerta circolante. Un ulteriore blocco di 764 milioni di XPR, per un valore vicino ai 2 milioni di dollari, è stato successivamente spostato su un secondo conto.
Da leggere anche: ETF su XRP toccano il record di 1,7 miliardi di dollari: 9 settimane di afflussi nonostante la debolezza del prezzo
Il prezzo di XPR rompe il supporto al ribasso
L’emorragia si è riversata sul mercato nel giro di poche ore. XPR è scivolato intorno a 0,0026 dollari domenica, in calo di circa il 5,6% nelle 24 ore dopo un minimo a ridosso di 0,00245 dollari, restando sotto la soglia di 0,00271 dollari che aveva fatto da supporto. Nella stessa seduta il token aveva toccato massimi in area 0,00277 dollari e la capitalizzazione è scesa a circa 74 milioni di dollari.
L’RSI è precipitato a 27,47, piena zona di ipervenduto. Un segnale di vendite a senso unico più che di una normale fase di ri-prezzamento, con volumi intorno a 2,9 milioni di dollari nell’arco della giornata che indicano una presenza limitata di compratori.
In termini assoluti la cifra è modesta se confrontata con le maggiori perdite DeFi dell’anno. A contare di più è la modalità del guasto: un singolo controllo mancante sui valori di input ha permesso al danno di propagarsi da un contratto di swap a pool di lending e asset bridged che condividevano la stessa liquidità. L’attaccante non ha dovuto ricorrere né a flash loan né a manipolazioni di oracoli: è bastato un segno meno che il contratto non ha mai respinto.
Metallicus congela gli XPR sottratti
I produttori di blocchi hanno corretto il contratto alle 21:32 UTC e circa due ore dopo hanno sequestrato circa 1,80 miliardi di XPR, ponendo i token sotto controllo della community. Solo 319,5 milioni di XPR, sui 2,12 miliardi coinvolti, sono effettivamente arrivati su venue esterne alla rete.
La maggior parte della fornitura colpita resta quindi potenzialmente recuperabile, un esito reso possibile dal modello di delegated proof-of-stake di XPR Network, in cui un numero ristretto di produttori eletti può intervenire direttamente sullo stato della blockchain. Non è la prima volta che la rete ricorre a questa leva.
Metallicus, lo sviluppatore principale di XPR Network, ha segnalato a settembre 2024 un exploit di tipo re-entrancy sul proprio contratto di lending, sospendendo depositi, prestiti e liquidazioni, congelando i fondi coinvolti e riaprendo il servizio di lending a fasi nel mese successivo.
Da leggere prossimamente: Sam Altman esclude una IPO OpenAI nel 2026 e punta il dito sul tema della sicurezza dell’IA
