Secondo quanto riportato dalla società di sicurezza blockchain BlockSec, Futureswap, la piattaforma di trading con leva finanziaria decentralizzata su Arbitrum, avrebbe perso circa 395.000 dollari in un presunto exploit, estendendo una serie indesiderata di perdite DeFi basate su Arbitrum all'inizio del 2026.
L'dent è l'ultima violazione che ha interessato un protocollo DeFi sulla rete Arbitrum nel 2026, a soli dieci giorni dall'inizio dell'anno.
La notizia è stata diffusa per la prima volta quando Phalcon, la piattaforma di rilevamento delle minacce di BlockSec, ha rivelato su X di aver rilevato transazioni sospette che avevano come obiettivo il contratto di trac .
L'azienda di sicurezza ha dichiarato di aver tentato di contattare il team, ma di non aver ricevuto risposta al momento della pubblicazione. Per contestualizzare, l'account X del progetto è stato pubblicato l'ultima volta nel 2022.
Secondo Phalcon, "sembra che l'aggressore abbia prosciugato i fondi tramite molteplici operazioni changePosition, ritirando infine una grande quantità di USDC"
Ha inoltre aggiunto: "Dato che iltracnon è open source, la causa principale esatta richiede ancora ulteriori indagini"
ATTENZIONE! Il nostro sistema ha rilevato qualche ora fa trac di @futureswapx su #Arbitrum
L'aggressore sembra aver prosciugato... pic.twitter.com/SD5CUCfA8h
— BlockSec Phalcon (@Phalcon_xyz) 10 gennaio 2026
Come è stato hackerato Futureswap?
BlockSec ha analizzato il comportamento on-chain e ha dichiarato di sospettare che "l'dent possa essere correlato a modifiche contabili inaspettate di StableBalance durante precedenti aggiornamenti delle posizioni, che hanno successivamente consentito il rilascio di USDC durante la rimozione delle garanzie"
Pochi giorni prima, il 5 gennaio, Cryptopolitan è stato segnalato che due progetti Arbitrum hanno perso 1,5 milioni di dollari in attacchi di accesso agli smart contract trac USD Gambit e TLP, entrambi lanciati dallo stesso distributore, hanno subito prelievi non autorizzati dopo che un aggressore ha ottenuto l'accesso amministrativo e ha sostituito gli smart trac con versioni dannose.
Secondo l'azienda di sicurezza blockchain Cyvers Alert, un'analisi preliminare mostra che il singolo implementatore potrebbe aver perso l'accesso al proprio account. "L'aggressore ha quindi implementato un nuovotrace aggiornato i privilegi di ProxyAdmin per ottenere il controllo", ha affermato Cyvers Alert.
I fondi rubati vennero poi trasferiti sulla rete Ethereum e depositati in Tornado Cash.
Gli hacker stanno prendendo di mira Arbitrum?
Il nome di Arbitrum è emerso spesso negli attacchi DeFi del 2026 segnalati finora. All'inizio di gennaio, TMX Tribe ha subito un exploit da 1,4 milioni di dollari, mentre il vault USDC di IPOR Fusion ha perso 336.000 dollari a causa di una vulnerabilità in untraclegacy, nonostante la DAO avesse promesso il rimborso completo agli utenti.
I ricercatori di sicurezza hanno notato che i recenti attacchi seguono uno schema simile, collegato agli hacker nordcoreani sponsorizzati dallo Stato, che utilizzano principalmente Tornado Cash per riciclare fondi. Gli aggressori hanno imparato a muoversi rapidamente per scambiare e mischiare i fondi rubati quasi immediatamente per evitare di essere inseriti nella blacklist degli indirizzi.
Queste violazioni prendono di mira in genere ecosistemi ad alta liquidità, perché in questo modo gli sfruttatori massimizzano le possibilità di ottenere profitti consistenti. Secondo Defi llama, Arbitrum detiene oltre 3 miliardi di dollari in DeFi sulla piattaforma e non si è mai allontanata dal primo posto tra Ethereum L2 in termini di TVL dal suo lancio nel 2021.
Un altro tema comune tra gli attacchi informatici recenti è che in genere puntano sutracintelligenti più vecchi, che mantengono ancora liquidità.
Nel luglio 2025, Cryptopolitan ha riferito che la Arbitrum Foundation ha stanziato una somma di 14 milioni di dollari tramite l'Arbitrum Audit Program per supportare progetti locali sovvenzionando le loro revisioni trac
Il bottino di exploit viene rapidamente reindirizzato tramite mixer
Il quarto trimestre del 2025 ha visto un picco nei depositi di Tornado Cash , con il mixer che ora detiene un valore record, bloccato sia da nuovi hack che da vecchi exploit. La piattaforma contiene oltre 338.000 ETH, una cifra superiore al picco del 2021. Anche mixer come Railgun hanno registrato un aumento dell'attività alla fine del 2025.
Secondo quanto osservato dagli analisti, gli attacchi hanno preso di mira principalmente progetti relativamente poco noti. USD Gambit, ad esempio, indica che un singolo exchange verrà gradualmente eliminato nelle prossime settimane. Nonostante il lancio nel 2023, il progetto non ha beneficiato della ripresa della DeFi e del trading di futures perpetui, il che lo ha reso un bersaglio più facile, con minori controlli di sicurezza.
