Predict.fun, un mercato di previsione su BNB Chain, ha dichiarato martedì 27 ottobre che circa 400.000 USDT sono usciti senza autorizzazione da un piccolo numero di wallet degli utenti, e ha promesso di rimborsare per intero tutti i clienti colpiti. blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">Il comunicato, pubblicato sull’account X ufficiale della piattaforma e ripreso da crypto.news, TechFlow e PANews, indica una possibile violazione del sito con la documentazione delle API, ospitato da un fornitore esterno. I tracker indipendenti hanno contato l’hack di Predict.fun in modo diverso: Naeven, citato da Protos, ha trovato 19 vittime e 105 ETH, circa 260.000 dollari secondo la sua stima.
Le cifre non coincidono e nessuno ha spiegato perché. Predict.fun non ha detto come un sito di documentazione possa spostare denaro dai wallet degli utenti. Un post-mortem dettagliato arriverà a indagine conclusa, assicura la piattaforma.
Cosa ha dichiarato Predict.fun sui 400.000 USDT
TechFlow ha riportato il comunicato alle 14:56 UTC e PANews lo ha pubblicato quasi nello stesso momento: a metà pomeriggio, in Europa, la notizia era già online. La piattaforma non ha indicato a che ora i furti siano iniziati o finiti.
Stando a come lo riportano le testate, il comunicato riguarda la perdita, la causa sospetta e i passi successivi. Circa 400.000 USDT sono usciti senza autorizzazione da un piccolo numero di wallet degli utenti. Un’indagine preliminare suggerisce che il sito con la documentazione delle API, gestito da un host esterno, possa essere stato violato per un breve periodo. Il sito è offline e resterà chiuso fino al termine dell’indagine, senza una data di riapertura. Un post-mortem e le misure per evitare che accada di nuovo arriveranno più avanti.
Sui rimborsi, crypto.news riporta le parole della piattaforma: rimborserà «integralmente tutti gli utenti colpiti per i fondi persi come conseguenza diretta di questo incidente». Non c’è una scadenza, non c’è una procedura di richiesta e nulla dice se i rimborsi saranno pagati in USDT. The Defiant ha aperto con la stessa promessa.
Il fornitore che ospita la documentazione non è nominato. Il comunicato non precisa nemmeno su quale blockchain si trovassero gli USDT sottratti, anche se la piattaforma stessa gira su BNB Chain.
Cosa hanno contato i tracker: 19 vittime e 105 ETH
L’allarme è scattato prima che la piattaforma parlasse. Alle 12:04 UTC TechFlow ha rilanciato un avviso dell’account di analisi on-chain Onchain Lens: circa 300.000 dollari erano usciti da diversi contratti di Predict Fun attraverso wallet intermedi verso Relay, un servizio cross-chain, per poi essere inviati, secondo quanto riportato, a Tornado Cash. FinanceFeeds, che ha dato conto dello stesso avviso, ha sottolineato che la cifra era una stima e che l’avviso non indicava alcun contratto vulnerabile.
Si sono fatti sentire anche gli utenti. Un analista che scrive con il nome Dethective ha detto il 27 ottobre di essere stato svuotato di circa 5.000 dollari. «Penso che a Predict Fun stia succedendo qualcosa di sbagliato e non sono l’unica vittima», ha scritto Dethective, secondo Protos.
Naeven ha poi seguito i fondi. Ha contato 19 vittime e un totale di 105 ETH, che ha valutato circa 260.000 dollari. Nella sua ricostruzione i fondi sono stati trasferiti su Ethereum con un bridge e poi inviati a Tornado Cash, il mixer usato per spezzare il legame tra depositi e prelievi. «Probabilmente ci sono altre vittime», ha scritto, invitando gli utenti a spostare fuori dalla piattaforma i fondi rimasti. Protos ha precisato di aver chiesto un commento a Predict.fun e di non aver ricevuto risposta al momento della pubblicazione.
I mixer tornano di continuo dopo i furti. La settimana scorsa il wallet dietro l’exploit di Drift ha fatto passare circa 25.700 ETH dallo stesso servizio, come abbiamo raccontato nel nostro articolo sul trasferimento a Tornado Cash dell’autore dell’exploit di Drift.
Tre cifre per l’hack di Predict.fun, nessuna riconciliazione
A seconda della testata, i lettori vedranno numeri diversi. Ciascuno viene da una fonte diversa e nessuna fonte dice come si rapportino tra loro.
| Cifra | Fonte | Cosa riguarda |
|---|---|---|
| Circa 400.000 USDT | Comunicato di Predict.fun, 27 ottobre, via crypto.news, TechFlow, PANews | Fondi spostati senza autorizzazione da un piccolo numero di wallet degli utenti |
| Circa 300.000 dollari | Avviso di Onchain Lens, via TechFlow (12:04 UTC) e FinanceFeeds, 27 ottobre | Fondi spostati dai contratti di Predict Fun a Relay e poi, secondo quanto riportato, a Tornado Cash; una stima |
| 105 ETH, circa 260.000 dollari | Tracker Naeven, via Protos, 27 ottobre | Perdite ricostruite su 19 vittime; fondi trasferiti su Ethereum con un bridge e poi a Tornado Cash |
| Circa 5.000 dollari | Analista Dethective, via Protos, 27 ottobre | La perdita di un singolo utente |
La distanza tra 400.000 USDT e 105 ETH resta senza spiegazione. Nessuna delle due fonti dice se i conteggi riguardino gli stessi wallet o le stesse ore, e noi non abbiamo elementi per riconciliarli. Anche le descrizioni dei tempi divergono: Naeven ha definito l’incidente probabilmente ancora in corso, mentre la piattaforma parla di un breve periodo. Finché Predict.fun non pubblicherà il post-mortem o qualcuno non condividerà gli indirizzi coinvolti, la questione resta aperta.
Per dare un’idea delle proporzioni, DefiLlama mostrava circa 13,71 milioni di dollari bloccati in Predict.fun il 23 ottobre, quasi tutti su BNB Chain, secondo FinanceFeeds. La testata ha stimato che i 300.000 dollari ne rappresentino circa il 2,2%.
Non abbiamo trovato avvisi delle società di sicurezza che di solito segnalano questo tipo di svuotamenti, come PeckShield, Cyvers o SlowMist, e nessuna fonte ha pubblicato indirizzi degli attaccanti o hash delle transazioni. Questo articolo non ne cita nessuno.
Come può un sito di documentazione svuotare dei wallet?
Il comunicato lascia la domanda aperta. Un sito di documentazione spiega come usare un’API; di norma non custodisce chiavi e non muove fondi. Predict.fun dice soltanto che il sito potrebbe essere stato violato e non descrive il percorso dal sito agli USDT degli utenti.
Alcune testate hanno descritto l’attacco come phishing attraverso un’interfaccia compromessa. Nessuna fonte che abbiamo potuto leggere lo conferma, e crypto.news osserva che il comunicato non dice come l’attaccante abbia ottenuto l’accesso ai fondi. Ciò che si sa è di ordine generale: gli attacchi al codice che un sito carica da fornitori esterni possono spingere gli utenti a firmare approvazioni o trasferimenti che non volevano, senza alcuna falla negli smart contract. Che sia accaduto qui non è accertato.
L’API conta per capire il contesto. Secondo crypto.news, Predict.fun ha introdotto il 1° settembre una dashboard per sviluppatori in cui si creano applicazioni e si generano o importano chiavi API; la documentazione precedente descriveva endpoint per inserire e annullare ordini, dati di mercato, posizioni e attività degli account. Chi usa bot di trading è il lettore più probabile di quella documentazione. È un motivo per aspettare il post-mortem, non la prova della strada seguita dall’attaccante.
Lo stesso giorno SlowMist ha descritto un caso diverso di script di terze parti manomesso, un widget di chat che sostituiva gli indirizzi di deposito in cripto, di cui ci siamo occupati nel nostro articolo sull’attacco allo script di Udesk. Per capire dove avvengono di solito gli hack, vedi la nostra guida su come si può hackerare una blockchain.
Chi gestisce Predict.fun
Protos descrive Predict.fun come un mercato simile a Polymarket per l’ecosistema Binance, fondato da ex dipendenti di Binance. Changpeng Zhao ha detto su X che è stato incubato e finanziato da YZI Labs, l’ex Binance Labs. DefiLlama registra per il 2026 ricavi appena sopra i 9 milioni di dollari, secondo lo stesso articolo.
crypto.news aggiunge che i mercati di Predict.fun sono diventati accessibili dentro l’app di Binance tramite Binance Wallet ad aprile. Nello stesso mese è stato comunicato un nuovo investimento di YZI Labs, con Susquehanna Crypto; le cifre diffuse il 2 aprile indicavano un volume cumulato oltre 1,8 miliardi di dollari dal lancio di dicembre 2025. Alcuni mercati fanno inoltre passare il collaterale in USDT da Venus Protocol per ottenere un rendimento.
L’incidente arriva mentre i mercati di previsione attirano un’attenzione record; i soli contratti su Bitcoin hanno raggiunto, secondo quanto riportato, 2,7 miliardi di dollari in una settimana su Kalshi e Polymarket, come descritto nel nostro approfondimento sui volumi dei mercati di previsione crypto.
Il precedente di Polymarket, giugno 2026
Il caso precedente più vicino è quello di Polymarket. Il 25 giugno 2026 la piattaforma ha confermato che un fornitore terzo compromesso era stato usato per iniettare codice malevolo nel suo sito, servito ad alcuni utenti, secondo The Next Web. I suoi smart contract non erano stati sfruttati. PeckShield ha stimato circa 3 milioni di dollari sottratti a più di 11 vittime; i PUSD rubati sono stati trasferiti da Polygon a Ethereum con un bridge e convertiti in circa 1.893 ETH. Polymarket ha detto di aver rimosso la dipendenza interessata e di rimborsare integralmente le vittime.
Sulla carta i casi si somigliano: un fornitore esterno, un piccolo gruppo di vittime, fondi spostati su Ethereum e una promessa di rimborso totale. La differenza sta nei dettagli. Il caso Polymarket è arrivato con un meccanismo descritto, uno script iniettato nel sito. Predict.fun, finora, ha nominato soltanto il sito che sospetta.
Rimborsi di Predict.fun e post-mortem: cosa succede ora
Il processo di rimborso è il punto aperto più urgente per le vittime: chi rientra nella formula «conseguenza diretta di questo incidente», quando arrivano i pagamenti e in quale asset. Entro la sera del 27 ottobre non era comparso alcun nuovo comunicato in merito.
Il post-mortem dovrebbe spiegare il meccanismo e fornire un conteggio finale verificabile rispetto alle 19 vittime e ai 105 ETH di Naeven e ai 300.000 dollari di Onchain Lens. Fino ad allora il sito della documentazione resta chiuso, senza data di riapertura.
Chi ha collegato un wallet a Predict.fun, o ne ha usato l’API, può seguire l’account ufficiale della piattaforma per i dettagli sui rimborsi. Il consiglio di Naeven di spostare i fondi rimasti era una sua indicazione; il comunicato della piattaforma, così come è stato riportato, non l’ha ripetuto.