Cosa è successo?
Il protocollo di lending DeFi Term Finance ha perso, secondo Cointelegraph e The Block, una stima di 8,5 milioni di dollari in un attacco ai suoi cosiddetti Meta Vaults. DeFi (finanza decentralizzata) indica le applicazioni finanziarie che girano su blockchain senza un intermediario centrale. Un vault, in questo contesto, è uno smart contract in cui gli utenti depositano fondi in cambio di un rendimento.
Secondo Cointelegraph, l'attacco ha prosciugato quasi tutti i depositi in ether (ETH) da questi vault. Term Finance ha successivamente chiuso in via definitiva i suoi Meta Vaults.
Come è avvenuto l'aggiramento delle protezioni?
Questo è il cuore della vicenda e allo stesso tempo ciò che non è ancora del tutto chiarito. The Block riferisce che le proposte (proposals) per i vault di Term Finance erano soggette a un ritardo di sette giorni e i fornitori di liquidità potevano porvi il veto. Questi meccanismi di controllo dovevano servire proprio a intercettare un intervento malevolo sulla governance del protocollo prima che venisse eseguito.
Secondo The Block, però, queste garanzie evidentemente non hanno fermato l'attacco. Come esattamente si sia riusciti ad aggirarle non emerge in modo univoco dalle fonti disponibili. Se si sia trattato di un bug nel codice, di una presa di controllo della governance oppure di una combinazione di fattori resta al momento non confermato.
Quanto è stato perso esattamente?
Entrambi i media chiave, sia Cointelegraph sia The Block, lavorano con la cifra di circa 8,5 milioni di dollari e la indicano come una stima. Cointelegraph descrive la perdita come quasi tutti i depositi in ETH dei vault coinvolti. La cifra finale precisa e la sua verifica definitiva on-chain non le abbiamo ancora confermate da una fonte primaria del protocollo.
Contesto più ampio: non è stato l'unico incidente di sicurezza
Il caso Term Finance si inserisce in un periodo più movimentato dal punto di vista della sicurezza dell'infrastruttura cripto. Non si tratta però di eventi collegati, solo di una coincidenza temporale che è opportuno tenere separata:
| Incidente | Di cosa si tratta | Fonte |
|---|---|---|
| Term Finance | Exploit di vault governance, ~8,5 mln USD | Cointelegraph, The Block |
| The Sandbox | Sospensione del bridging su Base e BNB Chain dopo un exploit, impatto sotto lo 0,01% della supply di SAND | CoinDesk |
| Coldcard (Coinkite) | Nuovo firmware che richiede entropia fisica nella generazione del seed dopo una vulnerabilità | CryptoSlate |
Secondo CoinDesk, la rete di gaming web3 The Sandbox ha sospeso il bridging sulle reti Base e BNB Chain per isolare i token e ha avvisato gli utenti di non scambiare il token SAND su Base e BNB. The Sandbox indica un impatto inferiore allo 0,01% della supply.
Secondo CryptoSlate, il produttore del wallet hardware Coldcard, l'azienda Coinkite, ha rilasciato il 20 agosto un nuovo firmware standard che nella generazione del seed richiede l'aggiunta di casualità fisica (almeno 65 pressioni di tasti a intervalli irregolari). I possessori che si affidano a un seed creato con il firmware interessato devono, secondo CryptoSlate, generare un nuovo seed e spostare i fondi, a meno che il loro wallet non rientri nell'eccezione per la procedura con i dadi.
Questi tre casi non hanno tra loro alcuna connessione tecnica. Li accomuna solo il fatto che illustrano diversi livelli di rischio: smart contract e governance (Term Finance), ponti tra reti (The Sandbox) e generazione delle chiavi sull'hardware (Coldcard).
Cosa monitorare in questo tipo di eventi
Senza dare consigli su cosa fare con i propri soldi, solo come strumento per leggere situazioni simili: negli exploit di governance è cruciale se il team pubblica un post mortem con una descrizione precisa di come sono stati aggirati i time lock e il veto dei fornitori di liquidità, quale sia la perdita definitiva quantificata e verificata on-chain e se esista un piano di compensazione. Finché queste informazioni non sono confermate, restano solo stime.
charliedesk terrà questo caso nella lista da verificare e, in caso di un post mortem ufficiale da parte di Term Finance, confronterà ciò che è stato confermato rispetto allo stato attuale.