Arcadia Finance sotto attacco: hacker rubano 2,5 milioni su Base Blockchain

Autore

Laura Di Maria

Autore

Laura Di Maria

Part of the Team Since

Nov 2023

Has Also Written

• Gli ETF di XRP superano Bitcoin ed Ethereum: afflussi record ma cala il prezzo
• Ripple annuncia 4 acquisizioni: cosa succede ora al prezzo XRP
• Ethereum sfiora la crisi: un bug ha messo a rischio l'aggiornamento Fusaka
• SpaceX sposta $100 milioni in Bitcoin: la verità nei dati di Arkham
• CZ: Binance vuole espandersi negli USA e fare degli Stati Uniti il centro globale delle crypto

Profilo dell'autore

condividi

Copiato

Divulgazione Annunci

Divulgazione Annunci

Crediamo nella completa trasparenza con i nostri lettori. Alcuni dei nostri contenuti includono link di affiliazione e potremmo guadagnare una commissione attraverso queste partnership. Tuttavia, questa potenziale compensazione non influenza mai le nostre analisi, opinioni o pareri. I nostri contenuti editoriali vengono creati indipendentemente dalle nostre partnership di marketing e le nostre valutazioni si basano esclusivamente sui nostri criteri di valutazione stabiliti. Per saperne di più clicca qui.

Ultimo aggiornamento: 

Luglio 15, 2025

Una vulnerabilità del contratto Rebalancer è costata cara al protocollo DeFi Arcadia Finance. Degli hacker hanno sottratto circa 2,5 milioni di dollari in crypto dalla piattaforma attiva su Base blockchain.

Gli attaccanti hanno manomesso i parametri swapData per eseguire swap non autorizzati. In questo modo hanno prosciugato i portafogli degli utenti.

Lo ha riferito la società di sicurezza blockchain Hacken con un post su X.

I fondi rubati, costituiti principalmente da 2,3 milioni di USDC e 227.000 USDS, sono stati scambiati in Wrapped Ethereum e trasferiti sulla mainnet di Ethereum a poche ore dall’attacco.

Come si è svolto l’attacco

L’attacco è iniziato alle 00:58 di stamattina 15 luglio, ora italiana. Gli hacker hanno completato l’operazione tramite Tornado Cash su Ethereum, per poi effettuare il bridge su Base mezz’ora dopo.

Alle 02:03 è stato lanciato il contratto d’attacco su Base e ha attivato l’exploit dopo appena un minuto dal deployment.

Vari asset, tra cui USDC, WETH, EURC, USDS, AERO e WELL, sono stati sottratti in diverse transazioni e convertiti immediatamente in ETH.

Hacken ha identificato l’assenza di adeguato controllo dei parametri di swapData da parte del contratto Rebalancer. Questa vulnerabilità ha permesso all’attaccante di eseguire swap fraudolenti che aggiravano i normali controlli di sicurezza.

Durante il processo di swap, l’attaccante ha ricevuto 199 WETH e 965,8 milioni di token AERO e ha compromesso 12 indirizzi diversi stando all’analisi della società di sicurezza.

Tutti i fondi sottratti sono stati spostati su nuovi indirizzi intermediari su Ethereum. L’obiettivo, come spesso accade in questi casi, era offuscare la tracciabilità delle transazioni.

Il team di Arcadia Finance ha ammesso l’incidente in un post su X. Ha specificato di essere al corrente di “transazioni non autorizzate tramite un Rebalancer” e ha invitato gli utenti a “revocare subito tutte le autorizzazioni per gli asset manager”.

Il team ha aiutato i clienti a modificare le impostazioni dell’account e revocare le autorizzazioni attive verso i Rebalancer, inclusi quelli più vecchi.

La società Hacken ha riferito che gli asset rubati sono stati trasferiti su Ethereum poco dopo l’attacco. Tramite Across Protocol, la transazione di ricezione che ha processato 839,3 WETH.

Crescono i timori sulla sicurezza della DeFi

Questo attacco rappresenta il secondo grave incidente di sicurezza per Arcadia Finance. Nel 2023 c’era già stato un hack da 455.000 dollari. In quel caso gli attaccanti avevano sfruttato una validazione insufficiente degli input nei wallet Ethereum e Optimism della piattaforma.

Anche la precedente violazione dipendeva da vulnerabilità simili nel codice degli smart contract del protocollo. In particolare, mancava protezione contro la reentrancy, che consentiva agli attaccanti di eludere i controlli interni sulla condizione effettiva dei wallet.

Dopo l’incidente del 2023, PeckShield aveva segnalato ulteriori vulnerabilità nel codice, tanto da minare la fiducia generale nei confronti della sicurezza della piattaforma.

La tempistica della nuova violazione arriva in un momento critico per il settore DeFi in tema di sicurezza. Secondo CertiK, nel primo semestre del 2025 le perdite superano i 2,47 miliardi di dollari in 344 episodi.

Le violazioni collegate ai wallet pesano per 1,7 miliardi di dollari in appena 34 attacchi, mentre i phishing scam hanno portato al furto di oltre 410 milioni di dollari in 132 casi diversi.

Nonostante il supporto di Coinbase e il lancio recente di un bug bounty program da 5 milioni di dollari tramite Cantina, la blockchain Base continua a dover affrontare importanti sfide di sicurezza mentre cresce l’adozione istituzionale.

La rapida espansione della rete, tra cui la scelta da parte di JPMorgan per il token di deposito digitale JPMD e l’integrazione dei pagamenti USDC su Shopify in 34 paesi, rende questi incidenti di sicurezza particolarmente gravi e rallentano l’adozione mainstream.