Exploit Premia su Arbitrum: sei vault di opzioni svuotati in due transazioni, persi circa 437.000 dollari

Un attaccante ha svuotato sei vault di opzioni di Premia su Arbitrum nelle prime ore di domenica 1° novembre, con due transazioni a circa un secondo di distanza e l’aiuto di flash loan. The Defiant stima la perdita netta in circa 437.000 dollari di collaterale. Secondo Arbiscan, la prima transazione è stata registrata alle 03:15:39 UTC. Al momento della stesura non risulta alcuna dichiarazione di Premia.

L’exploit di Premia è di dimensioni ridotte rispetto a l’hack di Binance e a lo svuotamento di b14g su Core di pochi giorni fa. Per chi aveva depositato nei vault di Premia, però, la situazione on-chain è chiara: ciò che resta è poco più che polvere.

Due transazioni a quattro blocchi di distanza

La prima transazione si trova nel blocco 520.166.479, la seconda nel blocco 520.166.483. Entrambe sono andate a buon fine. Partono dallo stesso indirizzo, 0xbeBa8CEfD0D75d747C5AD966Dc17C0Bb60D84dBd, e chiamano lo stesso contratto, 0x577168C8c6fA937495C3D6961f1d7D734b2d785f. Le ricevute, lette da un nodo pubblico di Arbitrum, mostrano anche una transazione preparatoria dello stesso indirizzo alle 03:14:37 UTC, circa un minuto prima, nel blocco 520.166.285. Secondo KuCoin News, quella transazione ha creato i sei contratti dei blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool di opzioni.

La società di sicurezza Blockaid ha lanciato l’allarme alle 04:13 UTC, poco meno di un’ora dopo la prima transazione, con un avviso rilanciato da TechFlow che parlava di attacco ancora in corso.

Come ha funzionato l’exploit di Premia: flash loan e pool di opzioni vuoti

Un vault di opzioni raccoglie depositi e li usa come collaterale per le opzioni che vende. Secondo la ricostruzione di Blockaid, rilanciata da TechFlow, l’attaccante ha creato pool di opzioni vuoti, ha comprato opzioni con denaro preso a prestito tramite flash loan in modo che wallet. It becomes permanent when the provider withdraws.">il collaterale dei vault restasse bloccato in quei pool, e poi lo ha prelevato come liquidità. The Defiant riporta la stessa sequenza, citando a sua volta Blockaid.

L’explorer conferma il quadro. Arbiscan mostra la prima transazione che prende in prestito token dal Balancer Vault, tra cui 0,9 WBTC, 11 WETH e 6.000 USDC.e. Si vedono poi token di opzione coniati e bruciati, con nomi come WBTC-USDC-06NOV2026-78000-C e WETH-USDC-06NOV2026-2200-P, e dell’ETH che torna al mittente. La seconda transazione ha preso in prestito allo stesso modo 12.000 ARB e 9.500 USDC.e. Un flash loan va restituito all’interno della stessa transazione, quindi le somme prese in prestito sono servite solo come capitale operativo. Il guadagno è venuto dal collaterale.

Nessuna fonte parla di una chiave compromessa. La descrizione di Blockaid punta al modo in cui i vault collocano il collaterale nei pool, ma nessuno ha ancora chiarito se il difetto sia nei contratti dei vault o nei pool centrali. DefiLlama elenca due rapporti di audit per Premia V2 e nessuno per V3: è soltanto un elenco, e resta da stabilire se un audit abbia coperto questo codice.

Cosa è uscito dai vault: 3,64 WBTC, 43,47 WETH e altro

Il dettaglio più completo arriva da The Defiant, in una tabella ripresa da KuCoin News. Il totale è di circa 437.000 dollari, ai prezzi mostrati da Arbiscan intorno alle 04:16 UTC. Sommando i trasferimenti di token nelle due transazioni dai log di Arbitrum si ottengono le stesse quantità, vault per vault.

Il WBTC è la parte più grande. Al prezzo di DefiLlama di circa 77.600 dollari intorno alle 04:12 UTC, quei 3,64 WBTC valgono circa 283.000 dollari, quasi due terzi del totale. Con i prezzi della stessa fonte tutti e quattro i token arrivano a circa 437.000 dollari, in linea con The Defiant. I saldi registrati dopo l’attacco sono minimi: circa 0,0008738 WBTC nel vault WBTC call e tra 45 e 126 USDC.e nei vault put. Queste cifre non includono il valore delle posizioni in opzioni ancora aperte.

Prelievi minori proseguiti per quasi due ore

I 437.000 dollari riguardano solo le due transazioni dell’attacco. I log di Arbitrum, consultati intorno alle 05:50 UTC, mostrano dieci transazioni successive che hanno prelevato token dagli stessi vault. Non risulta che altre testate le abbiano riportate.

Otto sono avvenute tra le 03:42 e le 03:49 UTC da un altro indirizzo, 0x085a20c93ccbf0316b6f9b70134180fd62539e9b, tramite un unico contratto. La prima ha sottratto circa 2.044 ARB netti dal vault ARB call e ne ha inviati circa 2.029 a quell’indirizzo. Altre due sono seguite da indirizzi diversi, alle 04:18 e alle 05:06 UTC.

In tutto, quelle dieci operazioni hanno portato via circa 0,117 WBTC, 1,85 WETH, 2.406 USDC.e e 2.171 ARB, cioè circa 16.000 dollari agli stessi prezzi. I log mostrano spostamenti di token, non le intenzioni. Non è possibile dire se quegli indirizzi appartengano all’attaccante, a imitatori o a qualcuno che mette al sicuro i propri fondi.

Perché le stime della perdita divergono e cosa non ha detto Premia

In circolazione ci sono tre cifre, da non fondere. L’avviso iniziale di Blockaid indicava circa 400.500 dollari e parlava di attacco ancora in corso. I 437.000 dollari di The Defiant sono il collaterale netto. TokenPost ha riportato circa 464.600 dollari senza citare fonti. Aggiunge che i fondi sarebbero passati da Arbitrum a Ethereum e poi, attraverso Chainflip e NEAR Intents, in BTC: un percorso che non è stato verificato. L’indirizzo dell’attaccante conteneva meno di 0,001 ETH al momento del controllo, quindi il denaro ha lasciato quel portafoglio.

DefiLlama non riportava alcuna voce su Premia nell’elenco degli hack al momento della lettura, il 1° novembre. I suoi dati di protocollo, letti intorno alle 05:50 UTC, indicavano circa 533.000 dollari di valore totale bloccato per Premia V3 su Arbitrum e circa 210.000 dollari per Premia V2 su cinque chain. V3 risultava in rialzo dello 0,38% in un giorno, quindi i numeri potrebbero non riflettere ancora lo svuotamento, e non è chiaro se includano questi vault. Solo come ordine di grandezza, 437.000 dollari equivalgono a circa l’82% della cifra di V3.

La documentazione di Premia non riportava alcun avviso sull’exploit al momento della lettura, e il suo account su X non è stato apribile. Non si sa se i vault siano in pausa o se i depositi restino aperti, né se siano previsti un rimborso o una taglia (bounty). L’attaccante non è stato identificato e non ci sono notizie sulla possibilità di congelare i fondi.

I sei vault, per chi vuole verificare la propria esposizione

Questi sono i contratti coinvolti, secondo la tabella di The Defiant ripresa da KuCoin News. In ciascuno i log delle transazioni mostrano le uscite indicate sopra. Per chi non conosce il prodotto, la nostra guida a opzioni e vault DeFi spiega come guadagnano i depositanti e quali rischi corrono.

Premia non ha pubblicato indicazioni che risultino reperibili, quindi è sui suoi canali ufficiali che andrebbero cercate. Il collaterale è stato sottratto da questi vault; finora nulla riguarda ARB o USDC.e detenuti altrove su Arbitrum. Chi ha collegato il portafoglio tramite un link non ufficiale può controllare e revocare le autorizzazioni, un passaggio descritto nella nostra guida a come usare un DEX in sicurezza.

I token di opzione citati nella prima transazione rimandano a una scadenza al 6 novembre. Premia non ha detto che fine faranno entro quella data le posizioni aperte nei vault svuotati.