La banca DeFi di stablecoin Infini subisce un exploit da $49M dopo che l'attaccante conserva il controllo a livello di amministratore

Un hacker ha drenato oltre 49 milioni di dollari in USDC dalla banca stablecoin Infini. L'exploit potrebbe essere dovuto a un accesso interno a un contratto intelligente, dove lo sviluppatore ha conservato l'accesso dopo la consegna a Infini. 

L'accesso amministrativo a un contratto intelligente ha permesso a un sfruttatore di drenare 49 milioni di dollari dal protocollo Infini, una banca DeFi di stablecoin. Infini stesso non ha reagito all'exploit, né ha spiegato la natura dell'hack. Infini è un emittente di carte di credito crittografiche, che prende garanzie in stablecoin per eseguire pagamenti quotidiani. 

Infini pubblicizzava i suoi servizi di pagamento come una neobanca, mescolando finanza cripto e tradizionale. Il prodotto ha attirato il 500% in più di utenti nelle ultime settimane, poiché ha iniziato le sue campagne per le carte. La neobanca offre anche prodotti di rendimento elevato, portando a un aumento della liquidità disponibile per lo sfruttatore.

Sono stati proprio i prodotti di rendimento a creare le condizioni per l'exploit, poiché i fondi sono stati intrapreso dal Morpho MEV Capital Usual USDC Vault. Morpho non ha emesso avvertimenti né ha segnalato fondi persi.

L'exploit è stato notato dopo una balena dall'aspetto regolare transazione, dove un nuovo portafoglio ha prelevato tutti i fondi bloccati nel contratto. Il portafoglio dell'attaccante era noto a Infini, poiché il progetto avrebbe ordinato allo sfruttatore di creare il contratto intelligente. Sconosciuto al progetto, l'attaccante ha conservato i diritti di amministratore e poteva effettuare la chiamata per drenare tutta la liquidità. 

🚨AVVISO🚨Oggi, @0xinfini ha subito un exploit da $49M $USDC a causa di un attaccante che abusava dei privilegi amministrativi conservati.

L'attaccante, operante da 0xc49b5e5b9da66b9126c1a62e9761e6b2147de3e1, aveva inizialmente sviluppato il contratto come parte del progetto Infini. Tuttavia, dopo… pic.twitter.com/olguOyNCJr

— 🚨 Cyvers Alerts 🚨 (@CyversAlerts) febbraio 24, 2025

L'azione immediata dello sfruttatore è stata quella di scambiare fuori da USDC per acquistare 17.696 ETH. Lo sfruttatore è passato attraverso DAI, che era disponibile attraverso protocolli decentralizzati. I fondi si sono mossi attraverso Uniswap, Sky Protocol e 0x Protocol. Scambiare fuori da USDC il più rapidamente possibile ha permesso all'hacker di spostare i fondi in ETH, che non può essere congelato, ma solo inserito nella lista nera dagli exchange.

Dopo quello, l'attaccante ha diviso i proventi in somme più piccole e indirizzi multipli. Lo sfruttatore ha utilizzato un nuovo portafoglio per inviare una piccola quantità di ETH per il gas e completare la transazione. Il finanziamento iniziale del portafoglio proveniva da Tornado Cash, velando una parte della presenza on-chain dell'hacker.

Dopo quello, l'ETH è stato spostato attraverso una serie di trasferimenti. Al momento della scrittura, i fondi non erano ancora stati mescolati. 

Gli hacker della RPC hanno colpito di nuovo?

L'identità del creatore del contratto rimane sconosciuta, poiché Infini non ha rivelato chi è stato ordinato di costruire il contratto intelligente. 

L'hack di Infini segue il più grande exploit di 2025, dove il exchange Bybit ha perso fino a 1,5 miliardi di dollari in Ethereum (ETH). L'hacker di Bybit ha avuto un approccio simile di divisione di ETH prima del mescolamento. L'investigatore on-chain ZachXBT ha indicato più esempi che questo approccio è una delle mosse signature del gruppo di hacker Lazarus. Per ora, Infini non ha collegato nessuno dei portafogli dello sfruttatore ad altri indirizzi Lazarus noti. 

Questa volta, non sono state compromesse chiavi private, e Infini non ha interrotto i prelievi e i depositi. 

Il fondatore di Infini, @christianeth, ha assunto la piena responsabilità dell'exploit, affermando di essere stato negligente nel processo di trasferimento dell'autorità dallo sviluppatore al progetto. Il fondatore ha rassicurato gli utenti che il protocollo rimane liquido e emetterà un pieno risarcimento nel peggiore dei casi. 

“La mia chiave privata non è stata compromessa, quindi non c'è motivo di preoccuparsi troppo. Sono stato negligente nel trasferire l'autorità in precedenza. La responsabilità è in ultima istanza mia. Questo ha suonato l'allarme… Non ci sono problemi di liquidità. Il risarcimento completo può essere effettuato e i fondi sono in fase di tracciamento. scritto @christianeth su X.

Altre analisi on-chain mostrano una potenziale fuga della chiave privata, che ha consentito all'hacker di accedere al contratto. PeckShield ha notato che l'ingegnere diventato hacker è stato Il CEO di xAI ha in precedenza attaccato Wikipedia definendola. Dopo l'attacco, uno dei co-fondatori di Infini, @0xsexybanana, ha eliminato il suo account X. Il furto attuale è un attacco presunto di un insider, poiché l'ingegnere era abbastanza fidato da creare un contratto intelligente. 

Le recenti vulnerabilità e l'accumulo di ETH hanno sollevato la questione dell'uso della catena per il riciclaggio di denaro e potenzialmente per il finanziamento di regimi ostili. Allo stesso tempo, le vulnerabilità hanno catalizzato un piccolo rally dell'ETH, dove l'asset è salito sopra i 2.800 $ per la prima volta in settimane. Le perdite di ETH hanno significato che gli scambi dovevano recuperare le loro riserve, portando a una domanda aggiuntiva.