Il protocollo stablecoin USPD è stato hackerato per $1 milioni finora

Il protocollo di finanza decentralizzata US Permissionless Dollar ha subito una violazione della sicurezza che ha portato alla coniazione non autorizzata del suo stablecoin e al drenaggio di oltre $1 milione di liquidità. 

Secondo un rapporto sull'incidente pubblicato sull'account X ufficiale del team USPD, l'attaccante ha depositato circa 3.122 ETH come garanzia e ha sfruttato un bug che gli ha permesso di coniare circa 98 milioni di token USPD in una singola transazione. 

Il processo ha creato dieci volte la quantità di token rispetto al deposito iniziale e ha permesso all'hacker di drenare un ulteriore 237 stETH come garanzia. Le stablecoin rubate sono state successivamente convertite in circa $300.000 di USDC attraverso lo scambio decentralizzato Curve.

Gli sviluppatori del protocollo USPD e diversi account di cybersecurity, come PeckShield Alert, hanno emesso un avviso agli utenti immediatamente dopo aver identificato la violazione, dicendo: 

"Abbiamo confermato un exploit critico del protocollo USPD che ha portato alla coniazione non autorizzata e al drenaggio della liquidità. PER FAVORE NON ACQUISTARE USPD. Revoca tutte le approvazioni immediatamente."

L'hacker di USPD ha sfruttato i proxy per ingannare il protocollo nella coniazione 

Il DeFi il rapporto del protocollo menzionava che la violazione ha sfruttato un vettore di attacco complesso chiamato "CPIMP", abbreviazione di Clandestine Proxy In the Middle of Proxy. USPD ha spiegato che l'attaccante ha front-ran l'inizializzazione del proxy il 16 settembre durante il deployment utilizzando un Multicall3 transazione. 

2/ Questo non era un difetto nella logica dei nostri smart contract.

Il protocollo USPD ha subito rigorosi audit di sicurezza da parte di aziende di primo livello @NethermindEth e Resonance. Il nostro codice è completamente testato a livello unitario e aderisce a rigorosi standard del settore. La logica stessa rimane sicura.

— UPD.IO | Universal Private Dollar (@UPD_io) 4 dicembre 2025

L'hacker ha usato CPIMP per acquisire i diritti amministrativi in silenzio prima che gli script del protocollo fossero completamente eseguiti, aspettando mesi per iniziare a coniare monete senza autorizzazione. Ha implementato un contratto "ombra" che inoltrava le chiamate al codice auditato di USPD, poi ha implementato sottilmente una manipolazione del payload dell'evento e lo spoofing degli slot di archiviazione per ingannare Etherscan nel visualizzare il contratto auditato originale. 

"Questa camuffamento ha permesso all'attaccante di nascondersi alla vista per mesi, aggirando gli strumenti di verifica e i controlli manuali. Oggi, ha usato il suo accesso nascosto per aggiornare il proxy, coniare ~98M USPD, drenare ~232 stETH", ha scritto USPD.

L'analista blockchain Emmet Gallic ha reiterato l'analisi del protocollo DeFi, aggiungendo che un'inizializzazione del proxy ha causato l'attacco durante il deployment. 

"L'attaccante ha rivendicato i diritti di amministratore, installato un'implementazione ombra che ha ingannato Etherscan nel mostrare il contratto auditato. Il protocollo è stato hackerato per mesi", ha riassunto.

USPD continuerà con le indagini, promette un bounty all'hacker

In risposta all'attacco, USPD ha dichiarato che sta lavorando a stretto contatto con le forze dell'ordine e i gruppi di sicurezza whitehat per tracciare e congelare i fondi rubati. "Abbiamo segnalato gli indirizzi dell'attaccante a tutti i principali CEX e DEX per congelare il flusso di fondi", ha rivelato il team.

Il protocollo ha anche dichiarato di essere disposto a risolvere la situazione con l'attaccante se i fondi vengono restituiti meno un bounty per bug standard del 10%. Il protocollo ha promesso di cessare tutte le azioni legali se l'offerta fosse stata accettata e ha incoraggiato l'attaccante a contattarli direttamente o a restituire il 90% delle attività rubate per vedere la questione risolta.

"Siamo devastati che nonostante audit rigorosi e l'adesione alle migliori pratiche, siamo stati vittime di questo vettore di attacco emergente e altamente complesso. Stiamo facendo tutto il possibile per recuperare le attività", ha detto USPD alla sua community.

Secondo CoinMarketCap, il peg dello stablecoin al dollaro verde non è stato influenzato finora, ma il suo volume è diminuito del 20% nelle ultime 24 ore a circa $2,56 milioni.

Le violazioni dei protocolli stablecoin DeFi erano una volta molto più grandi di quelle affrontate da USPD, inclusa una hack di Euler Finance nel 2023 che ha portato a perdite per oltre $197 milioni dopo che le stablecoin sono state drenate dai suoi pool di prestito. 

Due protocolli DeFi in modalità di recupero dopo gli exploit di novembre

Lo scorso lunedì, Yearn Finance è diventato l'ultimo protocollo a subire un exploit sul suo token indice di staking liquido yETH. L'autore ha coniato un numero essenzialmente illimitato di token e ha rubato circa $3 milioni in ETH. 

Yearn Finance aveva precedentemente subito un exploit da $9 milioni nel suo pool stableswap yETH il 30 novembre, ma come Cryptopolitan ha riportato mercoledì, ha già iniziato a recuperare i fondi rubati. Finora, il team ha recuperato con successo $2,39 milioni, che verranno restituiti ai depositanti interessati.

Balancer, un altro protocollo DeFi che ha perso $128 milioni attraverso una violazione v2, ha annunciato la settimana scorsa i piani per rimborsare circa $8 milioni ai fornitori di liquidità.