Gli attaccanti hanno sottratto circa 5,4 milioni di dollari dal contratto Gravity Bridge lato Ethereum nelle prime ore del 30 maggio. Gli investigatori on-chain indicano come causa una chiave di firma compromessa anziché una vulnerabilità nello smart contract.
L’exploit ha rimosso 4,3 milioni di dollari in USD Coin (USDC) e 274 Ether (ETH) per un valore di 553.000 dollari. PeckShield ha anche registrato 434.000 dollari in Tether (USDT) e token PAYG per un valore di 64.000 dollari.
All’interno dell’attacco a Gravity Bridge
Il drenaggio è avvenuto dal contratto Ethereum verificato del bridge, con accesso privilegiato che ha permesso prelievi apparentemente autorizzati. L’analista on-chain Specter ha segnalato per primo l’incidente, indicando due indirizzi degli attaccanti collegati al furto.
PeckShield ha spiegato che l’hacker ha trasferito parte del bottino tramite ChangeNow e Binance per oscurarne la provenienza. Cyvers Alerts e altri strumenti di monitoraggio on-chain hanno confermato le cifre poco dopo.
Seguici su X per ricevere le ultime notizie in tempo reale
L’attaccante ha convertito la maggior parte delle stablecoin in ETH e ora controlla circa 2.102 ETH, per un valore di circa 4,23 milioni di dollari.
I bridge restano l’anello debole del settore crypto
Gravity Bridge collega Ethereum all’ecosistema Cosmos tramite IBC, consentendo ad asset come USDC di muoversi tra diverse chain. Il bridge deteneva circa 11,5 milioni di dollari in total value locked prima dell’attacco.
Attacchi precedenti ai bridge cross-chain come quello a Ronin e Poly Network hanno evidenziato come le chiavi concentrate rappresentino un single point of failure.
PeckShield ha spiegato in precedenza che otto exploit gravi su bridge hanno causato perdite per 328,6 milioni di dollari nel solo mese di maggio.
Episodi precedenti includono l’hack al bridge Meter e una tendenza più ampia di problemi legati alle chiavi dei validatori in tutto il settore.
Le emittenti di stablecoin possono aggiungere indirizzi alla blacklist in pochi minuti. I fondi diretti tramite servizi non custodial come ChangeNow sono molto più difficili da recuperare.
La riserva rimanente di ETH è completamente tracciabile su Etherscan, ma potrebbe comunque essere suddivisa, miscelata o trasferita su altre chain.
Il team di Gravity Bridge non ha ancora pubblicato una risposta ufficiale.
