Flow analizza l'exploit da $3.9M nel rapporto completo post-incidente
- Flow ha pubblicato un rapporto post-incidente che dettaglia la causa radice della sua exploit da 3,9 milioni di dollari.
- Ha attribuito la responsabilità a una vulnerabilità di confusione di tipi nel runtime Cadence che ha permesso la contraffazione di token.
- I validatori della rete hanno interrotto le operazioni entro sei ore dall'attacco.
Flow ha pubblicato un rapporto post-incidente il 6 gennaio 2026, discutendo la causa radice del suo exploit da $3,9 milioni.
Un attaccante ha sfruttato una vulnerabilità di confusione di tipo nel runtime di Cadence per falsificare token. Flow ha dichiarato che nessun saldo utente esistente è stato accesso o compromesso.
Flow identifica la vulnerabilità di confusione di tipo come causa radice dell'exploit
Una vulnerabilità di confusione di tipo è stata trovata essere la causa principale da Flow. La vulnerabilità ha reso possibile per l'attaccante eludere i controlli di sicurezza del runtime mascherando un'attività protetta come una struttura dati regolare. L'attaccante ha coordinato l'esecuzione di circa 40 smart contract malevoli.
L'attacco è iniziato all'altezza del blocco 137.363.398 il 26 dicembre 2025, alle 23:25 PST. Pochi minuti dopo il primo deployment, è iniziata la produzione di token contraffatti. L'attaccante ha utilizzato strutture dati standard replicabili per mascherare attività protette che dovrebbero essere non copiabili. Sfruttando la semantica move-only di Cadence, questo ha reso possibile la contraffazione dei token.
Cadence e un ambiente pienamente equivalente a EVM sono i due ambienti di programmazione integrati gestiti da Flow. In questo caso, l'exploit ha preso di mira Cadence.
Rete inattiva entro sei ore dalla transazione malevola iniziale
Il 27 dicembre, all'altezza del blocco 137.390.190, i validatori di flow hanno avviato una pausa di rete coordinata alle 05:23 PST. Tutte le vie di fuga sono state tagliate e l'arresto si è verificato meno di sei ore dopo la transazione malevola iniziale.
Fino al 26 dicembre alle 23:42 PST, FLOW contraffatti stavano venendo trasferiti su conti di deposito di exchange centralizzati. A causa delle loro dimensioni e irregolarità, la maggior parte dei grandi trasferimenti FLOW inviati agli exchange è stata congelata all'arrivo. A partire dalle 00:06 PST del 27 dicembre, alcune attività sono state spostate fuori rete tramite Celer, deBridge e Stargate.
Alle 01:30 PST sono stati sollevati i primi segnali di rilevamento. A questo punto, i depositi degli exchange sono stati correlati ai movimenti anomali di FLOW cross-VM. Man mano che il FLOW contraffatto veniva liquidato a partire dalle 1:00 PST, gli exchange centralizzati hanno affrontato una significativa pressione di vendita.
Gli exchange restituiscono 484 milioni di token FLOW contraffatti
Secondo Flow, l'attaccante ha depositato 1,094 miliardi di FLOW falsi su diversi exchange centralizzati. I partner exchange Gate.io, MEXC e OKX hanno restituito 484.434.923 FLOW, che è stato distrutto. Il 98,7% dell'offerta rimanente di merci contraffatte è stato isolato onchain ed è in fase di distruzione. Si prevede una risoluzione completa entro 30 giorni e il coordinamento con altri partner exchange è ancora in corso.
Dopo che la comunità ha valutato diverse opzioni di recupero, tra cui il ripristino del checkpoint, è stata scelta la strategia di recupero. Flow ha tenuto consultazioni in tutto l'ecosistema con partner infrastrutturali, operatori di bridge ed exchange.
L'exploit da $3,9 milioni di Flow è avvenuto all'interno di un modello simile di incidenti di sicurezza che hanno interessato i protocolli crittografici alla fine del dicembre 2025 e all'inizio del gennaio 2026. BtcTurk ha subito una violazione del hot wallet da $48 milioni il 1° gennaio 2026. Gli hacker hanno compromesso l'infrastruttura del hot wallet dell'exchange centralizzato e hanno dirottato i fondi attraverso Ethereum, Arbitrum, Polygon e altre catene.
Binance ha sperimentato un incidente di manipolazione di un account market maker il 1° gennaio che coinvolgeva il token BROCCOLI.
Se stai leggendo questo, sei già avanti. Resta così con la nostra newsletter.
Dichiarazione di responsabilità. Le informazioni fornite non costituiscono consigli di trading. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti effettuati sulla base delle informazioni fornite in questa pagina. Si consiglia vivamente di effettuare ricerche indipendenti e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Vignesh Karunanidhi
Vignesh è uno scrittore di contenuti crypto, giornalista crypto, editor di contenuti e social media manager. Ha lavorato con Watcher.guru, BeInCrypto, CoinGape, Milkroad e Airdrops per oltre 6 anni. Le sue competenze nella copertura di notizie su tecnologia, robotica, business e intelligenza artificiale si sono affinate grazie a una laurea magistrale in Commercio.
