- Secondo i ricercatori di sicurezza, l'attacco a Thetanuts è stato attribuito a un difetto nella logica di riscatto del vault.
- Si ritiene che la maggior parte dei fondi rubati sia stata recuperata grazie agli sforzi dei whitehat, con solo una piccola parte convertita in ETH dall'attaccante.
- Thetanuts afferma che i suoi prodotti attuali e gli smart contract non sono stati interessati dall'exploit.
Thetanuts Finance, il protocollo DeFi per opzioni, ha confermato di aver subito un exploit che ha drenato 2,1 milioni di dollari da un vault legacy ad esso collegato.
Secondo Thetanuts, il contratto compromesso era stato deprecato anni fa.
L'azienda di sicurezza blockchain PeckShieldAlert, che ha segnalato l'incidente prima che Thetanuts confermasse l'exploit, ha riferito che sembrava che 2 milioni di dollari in token opzionali fossero stati recuperati attraverso sforzi whitehat.
I fondi rimanenti, circa 105.000 dollari in USDC, sono stati scambiati dall'exploiter per circa 60 ETH, secondo l'analisi on-chain di PeckShieldAlert. L'attaccante detiene anche 34.000 dollari in token opzionali denominati in USDC.
Cosa ha portato all'exploit del vault legacy di Thetanuts Finance?
Una vulnerabilità nella logica di riscatto del vault è la radice dell'exploit, secondo il ricercatore di sicurezza ExVul, che ha pubblicato una panoramica su X.
Thetanuts Finance ha risposto entro poche ore, scrivendo su X, "Le nostre indagini preliminari indicano che si tratta ancora una volta di un vault deprecato da cui ci siamo migrati anni fa."
Il protocollo ha dichiarato: "Non ha alcuna relazione con nessuno dei nostri contratti o prodotti attuali", aggiungendo che pubblicherà un post-mortem completo una volta raccolti maggiori dettagli.
Il sistema di rilevamento degli exploit di Blockaid ha anche rilevato l'attacco in modo indipendente, emettendo un avviso alla comunità che segnalava l'exploit attivo del contratto Thetanuts su Ethereum. La piattaforma di sicurezza ha anche condiviso l'indirizzo dell'exploiter e l'indirizzo del contratto sfruttato.
I protocolli deprecati sono sotto attacco?
L'incidente di Thetanuts si aggiunge a un elenco crescente di protocolli deprecati che sono stati attaccati di recente.
Il più recente, oltre a Thetanuts, è Aztec Connect, un bridge di privacy abbandonato dal 2023, che ha perso 2,1 milioni di dollari a causa di una diversa vulnerabilità di verifica nei suoi smart contract immutabili, come riportato da Cryptopolitan. In quel caso, il team aveva rinunciato a tutte le chiavi di amministrazione, lasciando nessuno in grado di patchare o mettere in pausa il codice.
Finora nel mese di giugno, il valore totale hackerato in termini di exploit DeFi ha superato i 46 milioni di dollari, e siamo solo a metà mese. A questo ritmo, potrebbe eguagliare o superare maggio, che ha visto la sua giusta quota di violazioni di protocolli.
Thetanuts ha cercato di rassicurare i suoi utenti sui contratti attuali che non sono a rischio; tuttavia, gli ultimi eventi hanno chiarito agli utenti che il codice abbandonato non è codice sicuro, e lo stesso vale per i fondi ad esso collegati.
I cervelli più intelligenti del crypto leggono già la nostra newsletter. Vuoi unirti a loro? Unisciti a loro.
Domande frequenti
Cosa è successo nell'exploit di Thetanuts Finance?
Un attaccante ha sfruttato un difetto nella matematica di riscatto di un vault deprecato di Thetanuts Finance su Ethereum, drenando circa 2,1 milioni di dollari il 15 giugno 2026. PeckShield ha riferito che circa 2 milioni di dollari in token opzionali sono stati recuperati da un whitehat, mentre l'exploiter ha scambiato circa 105.000 USDC per circa 60 ETH.
Gli utenti attuali di Thetanuts Finance sono interessati?
No. Thetanuts Finance ha dichiarato che il vault sfruttato era deprecato anni fa e "non ha alcuna relazione con nessuno dei nostri contratti o prodotti attuali", secondo il post del team su X.
Qual era la vulnerabilità che ha permesso l'attacco?
Il ricercatore di sicurezza ExVul ha identificato come causa radice un difetto nella matematica di riscatto del vault legacy, che utilizzava una formula `backing * amount / totalSupply` per calcolare le distribuzioni delle quote, consentendo all'attaccante di prelevare più fondi di quanto gli spettasse.
Disclaimer. Le informazioni fornite non costituiscono consulenza finanziaria. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti basati sulle informazioni presenti in questa pagina. Si raccomanda vivamente di effettuare ricerche autonome e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Hannah Collymore
Hannah è una scrittrice e redattrice con quasi un decennio di esperienza nella scrittura di blog e nella copertura di eventi nel settore delle criptovalute. Presso Cryptopolitan, Hannah contribuisce alla pagina delle notizie, riportando e analizzando gli ultimi sviluppi nei settori DeFi, RWA, regolamentazione crypto, intelligenza artificiale e tecnologie emergenti. Si è laureata all'Arcadia University con una laurea in Amministrazione Aziendale.
