blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">Il protocollo di staking su Bitcoin b14g afferma che circa 97 milioni di CORE in staking sono stati prelevati dai suoi contratti senza autorizzazione. I registri della blockchain Core, consultati da Coindaro sabato 31 ottobre, mostrano che una somma equivalente è uscita con una sola transazione alle 09:29:51 UTC. A 0,01407 dollari per CORE, prezzo letto sulla pagina di CoinGecko dedicata a Core alle 17:52 UTC, il totale vale circa 1,37 milioni di dollari. La cifra è un nostro calcolo, fatto con un prezzo successivo all’evento, e non un dato fornito da b14g.
Nella sua ricostruzione dell’exploit di b14g, il team dice di aver messo in pausa i contratti coinvolti, che alcuni exchange partner hanno congelato circa 9 milioni di CORE e che i BTC in staking non sono stati toccati. Non abbiamo potuto leggere quel comunicato alla fonte: il post di b14g su X non si è aperto, quindi tutto ciò che qui attribuiamo al team arriva da TechFlow, da The Defiant e da altre testate che lo riprendono.
Cosa dice b14g sull’exploit
Secondo il resoconto di TechFlow, i CORE sono finiti su indirizzi controllati dall’attaccante; il monitoraggio indica circa 68 milioni ancora sulla blockchain Core, e i 9 milioni congelati sono legati a quello stesso attaccante. I BTC messi in staking tramite b14g restano bloccati con timelock sulla rete Bitcoin, afferma il team. Sta lavorando con il team di Core, con partner di sicurezza e con gli exchange, e ha promesso un rapporto sull’incidente con la causa tecnica, l’impatto e le misure per gli utenti colpiti.
Il congelamento non equivale a un recupero. Come ha osservato EconoTimes, non stabilisce quanto sia tornato indietro né quale sarà la perdita finale. Sui numeri di b14g è bloccato circa il 9% della somma sottratta, e nessun exchange è stato nominato.
Cosa mostrano i dati della blockchain Core
Nelle notizie che abbiamo trovato b14g non ha pubblicato indirizzi, così siamo partiti dall’elenco dei contratti nell’adapter pubblico di DefiLlama per b14g e abbiamo interrogato direttamente il nodo pubblico di Core. Un solo wallet ha effettuato una chiamata al contratto factory di b14g, e il contratto di staking di Core ha registrato 99 eventi legati a quella transazione, per un totale di 97.045.563 CORE. Corrisponde ai circa 97 milioni attribuiti a b14g.
| Ora (UTC, 31 ottobre) | Cosa risulta dai registri |
|---|---|
| 09:29:51 | Un wallet chiama il contratto factory di b14g; il contratto di staking di Core registra 99 movimenti per circa 97,05 milioni di CORE |
| 09:37-10:10 | Il wallet invia 23,4 milioni di CORE ad altri 11 wallet, in lotti da 1 a 2,9 milioni |
| 10:36:33 | Invia i restanti 73,65 milioni di CORE a un unico wallet |
| 11:07:03 | Il multisig proprietario della factory mette in pausa il vault CORE di b14g |
| Dalle 16:46 | Le testate iniziano a riprendere il comunicato di b14g |
Il wallet ha poi versato circa 97,05 milioni di CORE con 12 semplici trasferimenti, l’ultimo e il più grande alle 10:36 UTC. Il suo contatore di transazioni è 13, quindi la chiamata e quei trasferimenti sono tutto ciò che ha mai inviato. Prima aveva ricevuto un solo trasferimento semplice, di 615,6 CORE alle 09:00:42 UTC. Non è uno dei quattro firmatari del multisig che possiede la factory. La pausa è arrivata 97 minuti dopo la chiamata, dal multisig che richiede due firme su quattro, e il vault CORE di b14g risulta ancora in pausa.
Alle 17:54 UTC il wallet che aveva ricevuto i 73,65 milioni ne custodiva 63,65 milioni di CORE, dopo averne inviati circa 10 milioni altrove. La cifra di b14g per ciò che resta su Core è di circa 68 milioni, quasi 4,4 milioni in più, e non sappiamo spiegare la differenza. Non abbiamo seguito oltre i fondi, quindi non possiamo dire se una parte sia arrivata a un exchange.
Un limite su tutto questo: b14g non ha indicato quel wallet in nulla di ciò che abbiamo letto, quindi considerarlo il wallet dell’attaccante è una nostra inferenza, basata su un importo e un orario che coincidono. Abbiamo cercato una dichiarazione di Core DAO o un post di PeckShield, CertiK, SlowMist, Cyvers o Blockaid, senza trovarne entro le 17:55 UTC. Nemmeno un exchange ha confermato ufficialmente il congelamento.
I BTC in staking sarebbero al sicuro, e il valore di b14g è quasi tutto in BTC
DefiLlama indicava per b14g circa 248,9 milioni di dollari di valore totale bloccato alle 13:41 UTC del 31 ottobre, di cui circa 245,8 milioni su Bitcoin. Una parte molto più piccola sta su Genesis, la chain di Babylon. La perdita colpisce dunque il lato CORE di un prodotto in gran parte Bitcoin, il che torna con quanto dice il team, anche se i BTC non li abbiamo verificati noi. L’affermazione sul timelock poggia solo su b14g. Come i BTC in staking incassino i rendimenti o si sblocchino mentre i contratti sono in pausa non è stato spiegato.
Sono esposti coloro che hanno messo in staking CORE tramite b14g, con monete sotto i suoi contratti. La nostra guida ai liquid staking token spiega come funziona questo tipo di staking, e il nostro approfondimento su dove avvengono davvero gli hack crypto distingue il guasto di un protocollo da quello di una blockchain. Non abbiamo trovato prove che Core sia stata fermata o abbia subito un fork.
Cosa non si sa ancora dell’exploit di b14g
La blockchain mostra cosa si è mosso e quando, non perché la factory l’abbia permesso. Il metodo resta senza spiegazione: nessuna fonte parla di un bug, di una chiave rubata o di un ruolo di amministratore abusato, e non faremo ipotesi. Restano aperti il numero di utenti colpiti, gli eventuali rimborsi, gli exchange dietro il congelamento, la possibilità per Core di intervenire sulle monete ancora presenti sulla sua chain e la riapertura dei contratti.
Il prossimo riferimento è il rapporto sull’incidente di b14g, per il quale non è stata indicata una data. Aggiorneremo questo articolo quando uscirà.