Security

BNB Chain ha completato l’hard fork Pasteur, che chiude vettori critici di exploit legati ai validator. L’aggiornamento ha aumentato il throughput della testnet dell’88% fino a 2,324 TPS. Il miglioramento sposta l’esecuzione dei blocchi fuori dal percorso critico dei validator, ottimizzando la capacità dei blocchi senza sacrificare tempi di blocco di 450 ms.

The Sandbox (SAND) ha pubblicato i risultati dell’indagine sull’incidente di sicurezza che ha coinvolto di recente il suo bridge. L’attaccante ha sfruttato una funzione di configurazione del contratto del token SAND, che su Base e BNB Chain fungeva anche da integrazione del bridge LayerZero, registrandosi come unico verificatore dei messaggi in ingresso. In questo modo ha sottratto circa 14,74 milioni di SAND dal vault su Ethereum, pari a circa lo 0,5% della supply massima fissa di 3 miliardi. Il team afferma di aver completato le analisi forensi on-chain e di aver contenuto rapidamente l’impatto.

Il progetto metaverso The Sandbox ha comunicato un incidente di sicurezza che ha interessato la sua infrastruttura di bridging cross-chain. L’episodio potrebbe influire sul trasferimento di asset tra diverse reti blockchain. Al momento non sono stati resi noti né l’esatto perimetro dell’impatto né eventuali perdite di fondi.

Il 22 agosto Kiichain è stata colpita da un attacco legato a vulnerabilità del modulo Cosmos EVM, con una perdita di circa 1.48亿 KII. Il team ha sospeso d’urgenza la chain per evitare ulteriori danni e circa 8070万 KII risultano ancora congelati sull’indirizzo dell’attaccante e quindi recuperabili dopo il riavvio. Il resto dei fondi sarebbe stato in gran parte bridgeato su BNB Chain e venduto, mentre altri 300万 KII sono stati inviati a KuCoin e per questi è stata avviata una richiesta di congelamento. Kiichain sta correggendo le falle, preparando l’upgrade e il riavvio, e prevede di migrare gli asset recuperabili e di introdurre un limite alle operazioni di bridge.

La piattaforma di restaking di Bitcoin BounceBit ha annunciato che procederà gradualmente alla chiusura della propria blockchain di livello 1 in seguito a un recente exploit. Il progetto, incentrato sul restaking di BTC, interromperà quindi l’operatività della sua chain sottostante. Il team non ha ancora divulgato i dettagli dell’attacco né l’entità delle perdite, ma la decisione di spegnere la L1 rappresenta un duro colpo per i fondamentali del progetto.

Maya Protocol ha sospeso tutte le operazioni dopo aver subito un attacco basato su più vulnerabilità. L’aggressore ha sfruttato diversi bug di sicurezza sottraendo il token nativo CACAO e una quantità significativa di asset cross-chain, mentre l’ammontare delle perdite non è stato reso noto. Il protocollo, una piattaforma decentralizzata di liquidità cross-chain, ha visto colpiti gli asset principali e la liquidità dei pool collegati. L’episodio ha riacceso le preoccupazioni del mercato sulla sicurezza delle infrastrutture cross-chain.

Dopo l’attacco a KelpDAO, il total value locked (TVL) di Aave risulta ancora in calo del 43% e del 67% rispetto al massimo delle ultime 52 settimane. Gli hacker hanno depositato su Aave rsETH sottratto e hanno preso in prestito ETH reale, lasciando Aave e Compound con una stima di circa 246 milioni di dollari di crediti inesigibili complessivi. Il TVL di Aave è sceso da 26,4 miliardi di dollari prima dell’attacco a 14,9 miliardi di dollari, riducendo la capacità di prestito e aumentando la volatilità. Il token AAVE è sceso di circa il 20% il giorno successivo e tratta intorno a 89 dollari, ancora sotto i livelli pre-attacco.

Il broker di criptovalute regolamentato Bits of Gold, il più grande in Israele, ha comunicato una violazione dei dati dopo un accesso non autorizzato a un sistema di analisi di supporto, con potenziale esposizione delle informazioni personali di fino a 250.000 utenti. I dati potrebbero includere nome, numero di identità nazionale, telefono, email, indirizzo IP, dettagli del conto bancario e indirizzi pubblici di wallet crypto; l’azienda afferma che password e immagini dei documenti d’identità non sono state esposte. Pur senza impatti dichiarati su fondi e asset digitali, l’episodio può aumentare il rischio di phishing, impersonificazione e attacchi di ingegneria sociale contro gli utenti.

Il 10 marzo 2026 Aave ha subito una configurazione errata del risk oracle CAPO che ha fissato il tasso di cambio on-chain di wstETH circa il 2,85% sotto il prezzo di mercato, innescando la liquidazione di circa 10.938 wstETH. Il volume delle liquidazioni è stato di circa 26–27 milioni di dollari e i liquidatori hanno catturato un valore pari a circa 499–512 ETH. Il 15 febbraio 2026 Moonwell, a seguito di una modifica di governance, ha configurato in modo errato un wrapper Chainlink OEV usando il rapporto cbETH/ETH come prezzo in USD, facendo risultare cbETH intorno a 1,12 dollari (contro circa 2.200 dollari) e portando alla liquidazione di 1.096,317 cbETH e a circa 1,78 milioni di dollari di bad debt per il protocollo.

Un bridge che collega l’XRP Ledger alla chain tx è stato colpito sfruttando una falla nella logica di rilevamento dei depositi. L’attaccante ha costruito transazioni senza alcun deposito reale, riuscendo però a coniare XRP “bridged” su tx e a riconvertirli in XRP reali. In totale sono stati trasferiti circa 200.000 XRP tramite 94 pagamenti, ciascuno firmato correttamente da 17 dei 28 relayer. Ripple non è stata compromessa, mentre txEcosystem afferma che gli XRP bridged sulla sua chain non sono più completamente coperti.