Alephium avvisa di ritirare la liquidità fino a nuovo avviso mentre gli hacker drenano 815.000 $

Gli hacker hanno drenato circa 815.000 $ dal Token Bridge di Alephium su Ethereum. Hanno coniato 13,76 milioni di token ALPH avvolti da transazioni forgiate, spingendo il progetto a avvisare i fornitori di liquidità di prelevare immediatamente i propri fondi.

Questo exploit si aggiunge al numero crescente di attacchi ai bridge verificatisi a maggio. Il bridge Verus-Ethereum ha perso circa 11,5 milioni di $ in un attacco il 18 maggio, mentre Cryptopolitan ha segnalato il 30 maggio che Gravity Bridge ha perso 5,4 milioni di $, lo stesso giorno in cui il TokenBridge di Alephium ha subito un exploit.

Cosa ha reso l'attacco di successo?

L'azienda di sicurezza blockchain Blockaid ha rilevato l'exploit e ha segnalato che l'attaccante ha compromesso tre delle quattro chiavi dei guardian che proteggono il bridge. Una volta ottenuto il controllo della maggioranza di firma, l'attaccante ha forgiauto Verified Action Approvals (VAAs), i messaggi crittografici che autorizzano i trasferimenti cross-chain.

Secondo Blockaid, l'intera operazione ha richiesto circa sette minuti. L'attaccante ha utilizzato i VAAs forgiauti per coniare 13,76 milioni di ALPH avvolti, che rappresentano oltre il 100% dell'offerta avvolta precedente del token. Sono stati sbloccati anche altri asset, tra cui USDT, USDC, WBTC e WETH, dal contratto di custodia del bridge.

L'analista on-chain Specter ha segnalato che l'attacco ha colpito sia i contratti del bridge su Ethereum che su BNB Chain. Specter ha dichiarato che l'attaccante ha poi spostato i fondi rubati da BNB Chain a Ethereum e una parte è già stata depositata in Tornado Cash, secondo l'analisi di Specter pubblicata su X.

Alephium nega la compromissione delle chiavi dei guardian 

Tuttavia, Alephium ha fornito ulteriori aggiornamenti che contestano la segnalazione di Blockaid, affermando: “L’exploit NON è stato causato da una compromissione delle chiavi dei guardian, contrariamente ad alcune prime segnalazioni esterne.” 

Secondo il protocollo, l'exploit è stato “causato da una vulnerabilità off-chain nel backend del bridge che poteva essere attivata in casi limite specifici.”

Alephium ha fornito una panoramica dei fondi drenati su Ethereum e BNB, dichiarando che sono stati prelevati 200.967 USDT, 17.594 USDC, 5,18 WETH e 0,335 WBTC dal primo, mentre 36.750 USDT e 24,386 WBNB sono stati prelevati da BNB.

Alephium invita i fornitori di liquidità a ritirare i fondi

Alephium ha anche avvisato chiunque fornisca liquidità ai pool ALPH su Uniswap o PancakeSwap.

In un aggiornamento successivo, la piattaforma ha fornito una spiegazione dettagliata del motivo per cui ha chiesto agli utenti di ritirare la liquidità, affermando, “Poiché il bridge è stato disattivato, l'attaccante non può riscattare o trasferire questi ALPH avvolti attraverso il bridge di Alephium. Chiediamo quindi agli utenti di non fornire liquidità ai pool ALPH su Ethereum o BNB Chain, di ritirare qualsiasi liquidità esistente e di non effettuare swap contro questi pool”, aggiungendo che “Una liquidità aggiuntiva o un'attività di trading aumenterebbero la capacità dell'attaccante di realizzare valore dagli ALPH avvolti non autorizzati.”

ALPH è attualmente scambiato a $0.037 con una capitalizzazione di mercato di oltre 5 milioni di $, mentre il valore totale bloccato (TVL) nei protocolli DeFi di Alephium si attestava a circa 756.000 $, e disponeva di oltre 308.000 $ come TVL bridged, secondo I dati di DefiLlama.

Il team di Alephium ha dichiarato che al momento si sta concentrando sugli sforzi di recupero e risanamento e ha promesso di condividere ulteriori aggiornamenti nella prossima settimana.

Un mese brutale per i bridge

L'exploit di Alephium si aggiunge a quello che è diventato un periodo difficile per le infrastrutture cross-chain. 

Il Attacco a Gravity Bridge, segnalato lo stesso giorno, ha visto drenare 5,4 milioni di $ attraverso quello che gli analisti on-chain sospettano essere una compromissione della chiave del contratto, secondo la segnalazione di Cryptopolitan.

Circa due settimane prima, il bridge Verus-Ethereum ha perso 11,5 milioni di $ in un exploit di bypass della verifica, secondo il database degli exploit di DefiLlama. Anche THORChain ha subito un attacco coordinato da 10 milioni di $ su Bitcoin, Ethereum, BNB Chain e Base il 15 maggio, come riportato da Cryptopolitan.

I bridge cross-chain hanno visto un aumento degli attacchi da parte di cattivi attori recentemente e hanno collettivamente perso oltre 326 milioni di $ solo nel 2026 a metà maggio. 

I protocolli di bridge rappresentano 3,2 miliardi di $ dei 16,6 miliardi di $ di valore totale rubato nella storia delle criptovalute, secondo DefiLlama, una quota sproporzionata dato il numero relativamente piccolo di protocolli di bridge rispetto ad altre categorie DeFi.

La vulnerabilità persistente di queste piattaforme e la crescente frequenza degli attacchi da aprile a maggio hanno reso il pattern difficile da ignorare.