L’investigatore onchain ZachXBT ha accusato Circle di non aver agito mentre milioni di USDC rubati venivano trasferiti liberamente attraverso il suo cross-chain bridge durante l’exploit di Drift Protocol da 285 milioni di dollari.
Le critiche sono seguite all’attacco subito il 1° aprile dall’exchange decentralizzato su Solana, finora il più grande exploit DeFi del 2026.
Circle affronta critiche per l’inazione sul CCTP
Drift Protocol, una piattaforma di perpetual futures su Solana (SOL), ha subito un pesante svuotamento dei propri vault il 1° aprile. La società di sicurezza PeckShield e la piattaforma di analytics onchain Arkham Intelligence hanno segnalato circa 285 milioni di dollari in deflussi dal vault principale di Drift verso wallet controllati dagli hacker.
L’attaccante ha trasferito gli asset rubati, in gran parte USDC, su più wallet prima di bridgarli da Solana a Ethereum utilizzando il Cross-Chain Transfer Protocol (CCTP) di Circle.
ZachXBT ha evidenziato che i trasferimenti sono avvenuti durante l’orario lavorativo statunitense senza alcun intervento.
Circle dormiva mentre molti milioni di USDC venivano swappati via CCTP da Solana a Ethereum per ore a seguito dell’hack a nove cifre di Drift durante l’orario lavorativo USA, ha spiegato l’investigatore blockchain.
L’esperto di sicurezza Specter ha espresso preoccupazioni simili. Ha segnalato che l’attaccante ha mantenuto USDC su vari wallet per 1-3 ore prima di swappare e ha deliberatamente evitato di convertire in Tether (USDT) durante il bridging, suggerendo sicurezza nel fatto che Circle non avrebbe congelato i fondi.
Un modello di risposte contraddittorie
La tempistica ha aumentato la frustrazione. Pochi giorni prima dell’exploit di Drift, Circle aveva congelato i saldi USDC di 16 hot wallet aziendali non collegati il 23 marzo, come parte di un procedimento civile statunitense sotto sigillo.
Quell’azione ha causato disservizi a exchange, casinò e processori di pagamento.
In precedenza ZachXBT aveva definito quel freeze potenzialmente il più incompetente visto negli ultimi cinque anni. Secondo l’analisi onchain, a suo parere, i wallet svolgevano attività legittime.
Circle in seguito ha sbloccato uno dei wallet collegati a Goated.com il 26 marzo, mentre la maggior parte è rimasta bloccata.
Il contrasto è evidente: Circle è intervenuta in modo aggressivo su una questione civile che ha coinvolto aziende legittime, mentre durante un exploit confermato da nove cifre non ha adottato alcuna misura per congelare i fondi rubati che transitavano sulla propria infrastruttura.
ZachXBT ha anche collegato questo comportamento alle nuove funzionalità privacy opzionali che Circle intende proporre sulla prossima blockchain Arc. Secondo lui, queste caratteristiche potrebbero ridurre ancora di più la responsabilità in termini di compliance limitando chi può visualizzare le transazioni.
Cosa succede ora per Circle e Drift
Sul lato Ethereum, gli asset rubati sono stati convertiti per circa 129.000 ETH. Il total value locked di Drift è crollato da circa 550 milioni a 247 milioni di dollari, mentre il suo token nativo DRIFT è sceso di quasi il 28%.
Circle non ha risposto pubblicamente alle critiche. Questo episodio ha riacceso il dibattito sulla possibilità che le emittenti centralizzate di stablecoin possano giustificare il proprio potere di freeze se lo applicano in modo incoerente.
