Cascade perde 1,3 milioni di dollari a causa di una vulnerabilità del caveau, dopo mesi di avvertimenti

Cascade, una piattaforma di criptovalute perpetue basata su Polychain, ha informato i suoi utenti su Discord che il suo caveau principale è stato svuotato di oltre 1,3 milioni di dollari in USDC. 

Nel comunicato si legge: "Cascade ha rilevato una falla di sicurezza che ha interessato il nostro caveau CLS, causando una perdita di circa 1,3 milioni di dollari in fondi degli utenti. Abbiamo immediatamente sospeso tutte le operazioni di trading e i prelievi in ​​attesa delle indagini."

Questa ammissione arriva dopo che gli investigatori on-chain avevano passato mesi a consigliare ai depositanti di ritirare i propri soldi dalla piattaforma.

Secondo la società di sicurezza blockchain PeckShieldAlert, i fondi rubati provenivano dal vault della Cascade Liquidity Strategy, noto come CLS.

La CLS detiene depositi pre-allocati provenienti da una campagna su invito chiamata First Wave di Cascade. Tali depositi sono rimasti bloccati fino al lancio pubblico della piattaforma, il che significa che coloro che hanno investito denaro non hanno avuto modo di prelevarlo prima dell'attacco.

Gli avvertimenti sono arrivati ​​prima

on-chain Morsy, noto come @morsyxbt, è stato una delle voci che hanno messo in guardia gli utenti da Cascade, definendolo un "progetto truffa" in una precedente indagine. Ha dichiarato: "Qualche giorno fa ho ripubblicato quel tweet e ho avvertito di ritirare i fondi".

Ora afferma che il risultato è che "il team Cascade, dopo 2 mesi di inattività, ha improvvisamente annunciato sul proprio server Discord di essere stato hackerato e di aver perso 1,3 milioni di dollari"

Un altro analista, con il nickname @mztacat su X, aveva avvertito i depositanti il ​​6 luglio, scrivendo: "Fate attenzione a @cascade_xyz – Se avete fondi investiti, vi consiglio di ritirarli."

L'account menzionava allora che avevano sentito voci su una possibile uscita. Sottolineavano inoltre che il protocollo non aveva condiviso alcun aggiornamento da oltre un mese, e che non c'era stata alcuna attività da parte degli amministratori.

Il 16 luglio, @mztacat è tornato come un profeta, affermando di aver avvertito "i depositanti due volte riguardo a questi protocolli quando hanno scoperto che i loro team formano Perennial e si muovono in modo sospetto".

Perennial era un protocollo di derivati DeFi che ha raccolto 12,6 milioni di dollari nel dicembre 2022 con il supporto di Polychain, Variant, Archetype e Coinbase.

Un trader con il nickname @0xGwoni ha affermato di aver consigliato di ritirare fondi da Cascade circa dieci giorni prima e che da allora la liquidità nel vault era diminuita di oltre il 95%.

Dove sono finiti i fondi di Cascade?

PeckShieldAlert tracha un percorso di riciclaggio creato per eludere un blocco. L'attaccante ha spostato 1,34 milioni di USDC su Arbitrum, poi li ha trasferiti su Solana e li ha instradati nuovamente su Ethereum tramite Relay Protocol, effettuando uno scambio con DAI lungo il percorso.

Un progetto che era rimasto in silenzio

Nel dicembre 2025, Cascade ha chiuso un round di finanziamento iniziale da 15 milioni di dollari guidato da Polychain e Variant, presentandosi come una "neo-società di intermediazione" che offriva trading perpetuo 24 ore su 24 su criptovalute, materie prime e azioni tokenizzate pre-IPO di società come OpenAI, SpaceX e Stripe.

Il lancio della Mainnet era previsto per il primo trimestre del 2026. L'evento finale di pre-allocazione, che ha aperto un'ulteriore finestra di 5 milioni di dollari, si è svolto il 21 gennaio.

Il team è poi scomparso dalla circolazione per quasi due mesi, come hanno notato diversi analisti, prima di ricomparire per confermare l'attacco informatico.

L'attacco è avvenuto il giorno dopo che Ostium, un'altra piattaforma di contratti perpetui di Arbitrum, ha sospeso le negoziazioni a seguito di un attacco basato su oracoli che ha causato una perdita stimata di 18 milioni di dollari. Questi attacchi si aggiungono a una lista crescente di DeFi verificatesi solo nel mese di luglio. Tra gli incidentidentquello del Lazy Summer Protocoldent, che ha causato una perdita di circa 6,04 milioni di dollari il 6 luglio, e quello di Bonzo Finance su Hedera, che ha perso 9 milioni di dollari pochi giorni dopo, solo per citarne alcuni.

Cascade ha dichiarato di aver "coinvolto SEAL 911 e altri team di sicurezza esterni e di essere attivamente impegnata a proteggere la piattaforma". Il team ha inoltre affermato che fornirà aggiornamenti non appena saranno disponibili ulteriori dettagli.