L’hack di UNCX colpisce il vault condiviso dei token su Ethereum
Blockaid segnala che l’attacco, passato attraverso una pool di vesting condivisa, ha colpito anche i token di altri progetti. UNCX ha fermato i servizi su Ethereum e avviato un audit più ampio.
In breve
- Un hacker ha sottratto mercoledì circa 86.000 dollari dalla pool di token vesting condivisa di UNCX Network su Ethereum.
- Secondo Blockaid, tramite un’unica pool condivisa i token di più progetti sono stati colpiti da un attacco alla struttura.
- UNCX ha avviato un audit di sicurezza più ampio e ha sospeso temporaneamente su Ethereum i servizi di vesting e di liquidity locking.
Un hacker ha sottratto mercoledì circa 86.000 dollari (€76.800) dalla pool di token vesting condivisa di UNCX Network su Ethereum. Nell’attacco sono stati presi anche token che altri progetti avevano bloccato lì. La società di sicurezza Blockaid ha detto che al momento della pubblicazione l’attacco era ancora in corso.
Come ha funzionato l’attacco
UNCX, in precedenza UniCrypt, offre ai progetti crypto un modo per bloccare i propri token così che gli insider non possano vendere troppo presto. Secondo Blockaid, molti progetti erano riuniti in un’unica pool, e quindi un attacco a quella struttura poteva colpire più parti.
L’attaccante ha prima aperto più posizioni di vesting nella pool. Poi è stata sbloccata una grande posizione e sono stati depositati token extra nella pool. Successivamente è stata annullata una posizione che era stata aggiunta in precedenza. Di conseguenza è rimasta una piccola posizione residua, e secondo Blockaid questa poteva poi prelevare i token di altri utenti.
UNCX spiega nella propria documentazione che i token in vesting restano bloccati in un contratto controllato e non possono essere inviati, venduti, aggiunti alla liquidità o messi in staking.
Perché questo conta per DeFi
UNCX non aveva ancora rilasciato una dichiarazione pubblica sull’incidente al momento della pubblicazione. L’azienda, che dal 2020 offre servizi di token locking e vesting, gestisce secondo i dati disponibili oltre 164 milioni di dollari (€146 milioni) di valore bloccato su più blockchain. Su Ethereum, di questa cifra, ci sono circa 111,4 milioni di dollari (€99,5 milioni).
L’attacco mostra che anche perdite relativamente piccole in DeFi possono pesare molto quando una struttura condivisa colpisce più progetti insieme. Nel settore torna quindi la richiesta di ulteriori livelli di sicurezza e controlli più rigidi sugli smart contract. Secondo le informazioni disponibili, UNCX ha già avviato un audit di sicurezza più ampio dei propri smart contract e ha sospeso temporaneamente su Ethereum i servizi di vesting e liquidity locking. Questo si inserisce in una serie più ampia di incidenti in cui errori nella logica dei contratti o nella gestione delle chiavi costano soldi in modo diretto, come nel caso dello spostamento degli crypto-hack verso chiavi e governance avvenuto all’inizio di quest’anno.
Reazione limitata del mercato
Il token di UNCX ha reagito poco. UNCX Network (UNCX) scambiava intorno a 24,80 dollari (€22), in rialzo dello 0,16% nelle 24 ore, con una capitalizzazione di mercato totale di quasi 905.000 dollari (€808.400). Questo è in contrasto con l’impatto sui progetti più piccoli, dove un hack relativamente contenuto può già bastare per mettere in seria difficoltà l’operatività.
Blockaid ha indicato due wallet coinvolti nell’attacco. Etherscan ha mostrato che uno di quei wallet deteneva circa 5.874 dollari (€5.250), distribuiti in otto transazioni. La domanda principale ora è quali progetti siano stati colpiti esattamente e se UNCX riesca ancora a bloccare ulteriori prelievi.
