- GANA Payment su BSC è stato sfruttato per oltre 3,1 milioni di dollari dopo che un hacker ha alterato la proprietà del contratto e svuotato i token.
- L'attaccante ha riciclato i fondi tramite Tornado Cash e ha trasferito gli asset tra BSC ed Ethereum mentre il token di GANA crollava di oltre il 90%.
- L'incidente si aggiunge a una serie crescente di hack DeFi nel 2025, con progetti BSC e protocolli cross-chain che subiscono perdite significative.
Un progetto di pagamento decentralizzato su Binance Smart Chain (BSC) chiamato GANA Payment è stato sfruttato intorno alle 5:00 UTC di giovedì, causando perdite superiori a 3,1 milioni di dollari, secondo il ricercatore blockchain ZachXBT.
Le indagini dell'investigatore cripto hanno mostrato che l'attaccante ha utilizzato una falla nel contratto intelligente del progetto per rubare i token. Li ha poi spostati attraverso Tornado Cash e altre reti per allestire operazioni di riciclaggio di denaro.
“Il contratto di interazione di GANA è stato preso di mira da un attacco esterno, risultando in un furto non autorizzato di asset… Continueremo a fornire aggiornamenti sui progressi delle indagini e sulle azioni successive attraverso i canali ufficiali”, ha scritto la piattaforma DeFi su X oggi stesso.
Diverse piattaforme di cybersecurity su X, tra cui OnChain Lens, hanno riferito che l'exploit è iniziato quando l'attaccante ha trasferito 1.140 BNB, valutati circa 1,04 milioni di dollari, in Tornado Cash su BSC.
Gli asset rubati sono stati successivamente trasferiti su Ethereum, dove un altro 346 ETH, del valore di 1,05 milioni di dollari, è stato depositato nel mixer cripto presumibilmente per il riciclaggio.
I registri blockchain condivisi da ZachXBT mostrano che l'indirizzo Ethereum utilizzato per il riciclaggio era 0x7a503e3ab9433ebf13afb4f7f1793c25733b3cca. Gli indirizzi originali del furto su BSC sono stati identificati come 0x2e8a…aae5c38 e 0xd10e…cc8fa4d.
L'hacker ha sfruttato la ‘funzione di unstake’ di GANA per rubare le monete
Secondo la società di sicurezza Web3 HashDit, la proprietà del contratto sfruttato era stata alterata, cosa che l'hacker ha usato per manipolare i tassi di ricompensa e invocare la funzione di unstake, ricevendo più token GANA del previsto.
🚨Allerta HashDit🚨
HashDit ha monitorato che @GANA_PayFi è stato compromesso per ~$3,1m $GANA.
Gli utenti NON dovrebbero scambiare con il token $GANA per il momento e attendere l'annuncio del team!
I fondi sono stati depositati in TC: https://t.co/rtdjnMvYpI
Causa radice: Ownership of… pic.twitter.com/XZzuoMmf8D
— HashDit | now with Pro Extension (@HashDit) 20 novembre 2025
L'autore del reato ha poi venduto rapidamente i token sugli exchange decentralizzati, svalutando significativamente la valuta del progetto. Un importo totale di 346 ETH detenuto nell'indirizzo Ethereum è rimasto inattivo per diverse ore.
Tuttavia, iniziando un'ora fa, l'hacker ha ripreso il riciclaggio dei fondi attraverso Tornado Cash in lotti incrementali di 1 ETH, 10 ETH e 100 ETH, un metodo utilizzato dai ladri durante gli attacchi DeFi per “scuotere” il trail dei ricercatori di sicurezza sui fondi rubati.
GANA Payment è un progetto di token di pagamento di scala relativamente piccola costruito attorno al token BEP-20 GANA. Le sue operazioni sono decentralizzate e utilizzano pool di liquidità e exchange, ma Cryptopolitan non ha trovato alcuna documentazione tecnica pubblicamente disponibile.
Il progetto, lanciato all'inizio di novembre, non ha ancora pubblicato audit formali o analisi di sicurezza dettagliate. Nelle conseguenze dell'hack, i dati di GeckoTerminal hanno mostrato che il valore del token di GANA è sceso di oltre il 90%.
Gli exploit DeFi su BSC ed Ethereum si sono raffreddati a ottobre
Secondo il tracker degli hack di DefiLlama, i progetti più piccoli basati su BSC hanno collettivamente perso oltre 100 milioni di dollari solo nel 2025. L'hack su GANA ha portato il totale a quasi 10 milioni di dollari negli ultimi due mesi, inclusi i violazioni di rete su OlaXBT, Evoq Finance, Seedify e GriffinAI.
Cryptopolitan ha riportato a ottobre che le perdite totali dagli ammanchi ammontavano a soli 18,18 milioni di dollari in circa 15 incidenti, un calo dell'85,7% rispetto ai 127,06 milioni di dollari di settembre. I principali incidenti verificatisi durante il mese hanno incluso gli hack a Garden Finance, Typus Finance e Abracadabra, che insieme hanno rappresentato 16,2 milioni di dollari di fondi rubati.
Abracadabra, un protocollo di prestito decentralizzato e creatore della stablecoin Magic Internet Money (MIM), ha subito una perdita di 1,8 milioni di dollari quando gli attaccanti hanno sfruttato le vulnerabilità nel modo in cui il contratto gestiva le azioni all'interno della stessa transazione.
Typus Finance ha perso 3,4 milioni di dollari a causa di debolezze nel controllo degli accessi nel suo oracle di prezzo personalizzato, mentre Garden Finance ha registrato una perdita di 11 milioni di dollari attraverso un singolo solver connesso a diverse reti blockchain.
Questo mese, Balancer è stato raggiunto coinvolto in uno dei più grandi hack DeFi del 2025, in cui ETH avvolto e altre attività provenienti da più reti sono state sottratte per diverse ore. Gli investigatori blockchain avevano stimato perdite di circa 70 milioni di dollari, ma quando gli sviluppatori della rete hanno ripreso il controllo, le perdite erano salite a oltre 116 milioni di dollari.
Il giorno successivo, il protocollo di prestito multi-chain Moonwell è stato hanno sfruttato colpito tramite dati oracle difettosi, subendo una perdita di circa 1 milione di dollari. L'attaccante ha sfruttato le discrepanze di prezzo per prendere in prestito e scambiare specifici asset ETH avvolti, incassando 295 ETH.
Secondo DefiLlama dati, gli hack ai bridge cross-chain nel 2025 avevano già causato oltre 1,5 miliardi di dollari di fondi rubati a metà 2025, mentre i bug di reentrancy hanno causato perdite per 325 milioni di dollari, in particolare da contratti più vecchi o forkati. La manipolazione degli oracle ha rappresentato il 13% degli attacchi, mentre i drenaggi dei pool di liquidità hanno causato 103 milioni di dollari di attività rubate.
Se stai leggendo questo, sei già avanti. Resta così con la nostra newsletter.
Dichiarazione di responsabilità. Le informazioni fornite non costituiscono consigli di trading. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti effettuati sulla base delle informazioni fornite in questa pagina. Si consiglia vivamente di effettuare ricerche indipendenti e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Florence Muchai
Florence si occupa di notizie relative a criptovalute, gaming, tecnologia e AI da oltre 6 anni. I suoi studi in Informatica presso l'Università Meru di Scienze e Tecnologia e in Gestione delle Emergenze e Diplomazia Internazionale presso il MMUST le hanno fornito eccellenti competenze linguistiche, osservative e tecniche. Florence ha lavorato al VAP Group e come editor per diverse testate specializzate in criptovalute.
