Futureswap basato su Arbitrum perde $400K in un presunto attacco hacker

La piattaforma di trading con leva decentralizzata su Arbitrum, Futureswap, avrebbe perso circa 395.000 dollari in un presunto sfruttamento, secondo la società di sicurezza blockchain BlockSec, prolungando una spiacevole serie di vittime DeFi basate su Arbitrum per iniziare il 2026. 

L'incidente è l'ultima violazione a colpire un protocollo DeFi sulla rete Arbitrum nel 2026, a soli dieci giorni dall'inizio dell'anno.

La notizia è stata diffusa per la prima volta quando Phalcon, la piattaforma di rilevamento delle minacce di BlockSec ha rivelato su X di aver rilevato transazioni sospette che prendevano di mira il contratto di Futureswap.

La società di sicurezza ha dichiarato di aver tentato di contattare il team ma non aveva ricevuto risposta al momento della pubblicazione. Per contestualizzare, l'account X del progetto ha pubblicato l'ultima volta nel 2022.

Secondo Phalcon, "L'attaccante sembra aver svuotato i fondi attraverso multiple operazioni changePosition, alla fine prelevando una grande quantità di USDC."

Ha anche aggiunto, "Poiché il contratto non è open-source, la causa radice esatta richiede ancora ulteriori indagini."

ATTENZIONE! Il nostro sistema ha rilevato una transazione sospetta che prendeva di mira il contratto di @futureswapx su #Arbitrum qualche ora fa, causando una perdita stimata di ~$395K. Abbiamo tentato di contattare il team, ma non abbiamo ancora ricevuto risposta.

L'attaccante sembra aver svuotato… pic.twitter.com/SD5CUCfA8h

— BlockSec Phalcon (@Phalcon_xyz) 5 gennaio 10, 2026

Come è stato hackerato Futureswap?

BlockSec ha analizzato il comportamento on-chain e ha dichiarato che sospetta che "l'incidente possa essere correlato a modifiche impreviste del contabile stableBalance durante gli aggiornamenti di posizione precedenti, che in seguito hanno permesso il rilascio di USDC quando si rimuoveva la garanzia."

Qualche giorno prima, il 5 gennaio, Cryptopolitan ha riportato che due progetti su Arbitrum hanno perso 1,5 milioni di dollari in attacchi di accesso ai contratti intelligenti. USD Gambit e TLP, entrambi lanciati dallo stesso distributore, hanno subito prelievi non autorizzati dopo che un attaccante ha ottenuto l'accesso di amministratore e ha sostituito i contratti intelligenti con versioni malevole.

Secondo la società di sicurezza blockchain Cyvers Alert, un'analisi preliminare mostra che il singolo distributore potrebbe aver perso l'accesso al proprio account. "L'attaccante ha quindi distribuito un nuovo contratto e ha aggiornato i privilegi di ProxyAdmin per ottenere il controllo", ha dichiarato Cyvers Alert.

I fondi rubati sono stati successivamente trasferiti sulla rete Ethereum e depositati in Tornado Cash.

Gli hacker stanno prendendo di mira Arbitrum?

Il nome di Arbitrum è emerso molto negli hack DeFi del 2026 riportati finora. All'inizio di gennaio, TMX Tribe ha subito uno sfruttamento da 1,4 milioni di dollari, mentre il vault USDC di IPOR Fusion ha perso 336.000 dollari a causa di una vulnerabilità del contratto legacy, sebbene la DAO si sia impegnata a rimborsare completamente gli utenti.

I ricercatori di sicurezza hanno notato che gli attacchi recenti seguono uno schema simile che è stato collegato agli hacker statali sponsorizzati dalla Corea del Nord, che utilizzano prevalentemente Tornado Cash per riciclare i fondi. Gli attaccanti hanno imparato a muoversi rapidamente per scambiare e mescolare i fondi rubati quasi immediatamente per evitare la blacklisting degli indirizzi.

Queste violazioni di solito prendono di mira ecosistemi ad alta liquidità perché in questo modo gli sfruttatori massimizzano le loro possibilità di grandi bottini. Secondo Defillama, Arbitrum detiene oltre 3 miliardi di dollari nei protocolli DeFi sulla piattaforma, e non si è mai allontanato dalla prima posizione tra le L2 di Ethereum in termini di TVL dal suo lancio nel 2021.

Un altro tema comune tra gli hack recenti è che di solito puntano a contratti intelligenti più vecchi che detengono ancora liquidità.

Nel luglio 2025, Cryptopolitan ha riportato che la Fondazione Arbitrum ha lanciato un fondo di guerra da 14 milioni di dollari tramite il Programma di Audit di Arbitrum per supportare i progetti nativi sovvenzionando i loro audit dei contratti intelligenti.

Il bottino dello sfruttamento viene rapidamente instradato attraverso mixer

Il quarto trimestre del 2025 ha visto un aumento dei depositi su Tornado Cash, con il mixer che ora detiene un valore bloccato record sia da nuovi hack che da exploit più vecchi. La piattaforma contiene più di 338.000 ETH, che è più del suo picco del 2021. Mixer come Railgun hanno anche registrato un aumento dell'attività alla fine del 2025.

Gli attacchi hanno preso di mira principalmente progetti relativamente oscuri, secondo quanto osservato dagli analisti. USD Gambit, ad esempio, indica un singolo exchange che verrà ritirato nelle prossime settimane. Nonostante il lancio nel 2023, il progetto non ha beneficiato della ripresa del DeFi e del trading di futures perpetui, rendendolo un bersaglio più facile con meno supervisione sulla sicurezza.