Swell ha sospeso depositi e prelievi dei suoi due token di staking su Ethereum, swETH e rswETH: lo ha comunicato pool di un market maker automatico divergono, rispetto a tenere semplicemente gli stessi token. Diventa definitiva al prelievo.">il team su X alle 06:39 UTC di venerdì 23 ottobre. Prima di riaprire vuole riportare «al valore corretto» il tasso di cambio dei token, il loro valore netto d’inventario (NAV), e non ha indicato alcuna data. La sospensione arriva circa 29 ore dopo l’allarme di alcuni ricercatori di sicurezza, secondo cui le chiavi di amministrazione dei token sembravano compromesse e qualcuno stava alzando il tasso senza ETH a coprirlo. Swell non ha detto che cosa sia successo. Afferma che nessun ETH è uscito dai suoi contratti di deposito o di prelievo.
In gioco, secondo i conti dei ricercatori, ci sono circa 2.500 ETH, cioè 6,0 milioni di dollari con ETH intorno a 2.398 dollari alle 10:28 UTC del 23 ottobre. Non è stata segnalata alcuna perdita. Nella mattinata di venerdì i due prodotti di Swell valevano circa 29 milioni di dollari ciascuno su DefiLlama.
Nel suo post Swell scrive di lavorare con «i nostri partner di sicurezza e Seal911» per «mettere completamente in sicurezza la nostra infrastruttura» e di aver «sospeso depositi e prelievi per swETH e rswETH». Il passo successivo, aggiunge, «è riportare il NAV al valore corretto», dopodiché depositi e prelievi riprenderanno. Secondo un riassunto dell’annuncio pubblicato da TechFlow alle 08:01 UTC, Swell ha anche dichiarato che tutti i fondi sono al momento al sicuro e ha invitato gli utenti a diffidare del phishing e ad affidarsi solo ai canali ufficiali.
Sospensione di swETH: che cosa blocca e che cosa Swell non dice
Il blocco è on-chain. The Defiant, che ha classificato la notizia nella sezione Hacks, scrive che i controlli on-chain impediscono ora le richieste di prelievo e il ritiro degli ETH, e che Swell deve correggere il NAV prima di riaprire. Chi detiene swETH o rswETH, quindi, per ora non può avviare un prelievo verso ETH tramite Swell, e un prelievo già richiesto non può essere riscosso.
Non c’è ancora un’analisi post-mortem, né un elenco degli indirizzi dei contratti coinvolti, né un hash di transazione, né una parola sulla causa. Il team non ha usato i termini exploit, hack o compromissione della chiave. Non ha detto chi ripristinerà il tasso, come, né se serva un voto del multisig o della DAO. Alle 10:50 UTC del 23 ottobre non era stata comunicata alcuna data di riapertura.
Se i token si possano ancora scambiare sugli exchange decentralizzati, e a quale prezzo, non è stato possibile verificarlo per questo articolo. Non abbiamo trovato un prezzo di mercato affidabile di swETH o rswETH da citare.
Secondo i ricercatori una chiave admin è trapelata e il tasso è stato alzato senza copertura
Il primo allarme pubblico è arrivato da Spreek, ricercatore DeFi che scrive come @spreekaway, alle 01:28 UTC del 22 ottobre. «Le chiavi admin di swETH e rswETH di Swell DAO sembrano compromesse (legato a Railway?)», ha scritto. Ha aggiunto che gli attaccanti stavano alzando il NAV «al massimo dell’1% (senza copertura) ogni ora» e che erano stati distribuiti quattro contratti di aggiornamento malevoli, non ancora messi in coda nel multisig, in grado di sottrarre circa 2.500 ETH.
Se quei contratti sono ciò che dice Spreek, contano più del tasso stesso. In un’architettura a proxy l’indirizzo del token che gli utenti detengono resta lo stesso, mentre il codice che c’è dietro può essere sostituito con una nuova versione. Stando al flash di KuCoin, un altro ricercatore, ADL (@ADLXBT), ha spiegato che la chiave trapelata dà i diritti di amministratore del proxy: un attaccante potrebbe quindi puntare il proxy a un’implementazione malevola e richiamare funzioni di mint o di prelievo. Quando Spreek ha scritto, nessuno dei quattro contratti era ancora stato messo in coda nel multisig.
Come è stato alzato il tasso, secondo Phylax Systems
Odysseus, fondatore della società di sicurezza Phylax Systems, ha fornito la ricostruzione più dettagliata, riportata da Cryptopolitan. Ha contato cinque aumenti di circa l’1% ciascuno: tre su swETH e due su rswETH. I dati di Ethereum citati nell’articolo mostrano un indirizzo che invia snapshot del tasso di swETH alle 23:02 UTC del 21 ottobre, poi di nuovo alle 00:04 e alle 01:08 UTC del 22 ottobre.
Il codice dell’oracolo pubblicato da Swell, ha detto, consente di inviare questi snapshot di riprezzamento a un solo ruolo, chiamato BOT. Ha definito l’episodio «abuso della chiave BOT». Secondo le sue cifre, il 22 ottobre swETH si trovava circa il 3,0% sopra il precedente tasso di 1,133254 ETH e rswETH circa il 2,0% sopra 1,082464 ETH.
Ha stimato le disponibilità di Swell in 2.513 ETH e ha tenuto a precisare che l’importo «NON è una perdita confermata». Solo una parte del tasso più alto, ha aggiunto, si era riflessa nei prezzi sui blockchain, dove gli utenti scambiano token direttamente dal proprio wallet senza affidare la custodia dei fondi a una società.">DEX.
Sono affermazioni di ricercatori con nome e cognome, non riscontri confermati da Swell. Entrambe le testate segnalano un limite della ricerca stessa: KuCoin, che rilancia TechFlow, scrive che il rapporto sull’incidente di Spreek è stato generato con un modello di intelligenza artificiale ed è in parte non verificato, mentre Cryptopolitan dice che alcuni dettagli sono stati compilati con l’aiuto dell’IA. Insieme alle cifre non è stato pubblicato alcun hash di transazione. Non abbiamo trovato un post su Swell di PeckShield, Cyvers, CertiK o di un’altra società di monitoraggio; Seal911 compare solo come partner di Swell.
Swell il 22 ottobre: nessun ETH è uscito dai contratti
La prima risposta pubblica di Swell è arrivata alle 03:03 UTC del 22 ottobre, circa 95 minuti dopo il post di Spreek. «Nessun ETH è uscito dai contratti di prelievo o deposito di swETH o rswETH», ha scritto il team in un post su X, aggiungendo di indagare con i partner di sicurezza e che agli utenti non era richiesta alcuna azione. Quel giorno il protocollo è rimasto aperto.
Più di un giorno dopo, ha cambiato rotta e ha chiuso depositi e prelievi. Swell non ha spiegato il motivo. Una lettura plausibile delle sue stesse parole è meccanica: se il tasso è sbagliato, lasciare prelevare a quel tasso significherebbe pagare ETH non coperti, e lasciare depositare significherebbe consegnare meno token di quelli dovuti. È una nostra deduzione dal testo, non una dichiarazione di Swell.
| Ora (UTC) | Evento | Fonte |
|---|---|---|
| 21 ott | Railway rende noto un accesso ai sistemi che conservano le variabili d’ambiente dei clienti | Railway |
| 21 ott, 23:02 | Un indirizzo invia uno snapshot del tasso di swETH | Cryptopolitan, che cita Odysseus |
| 22 ott, 00:04 e 01:08 | Altri due snapshot dallo stesso indirizzo | Cryptopolitan, che cita Odysseus |
| 22 ott, 01:28 | Spreek scrive che le chiavi admin sembrano compromesse | Post su X di @spreekaway |
| 22 ott, 03:03 | Swell dice di indagare e che nessun ETH è uscito dai suoi contratti | Post su X di @swellnetworkio |
| 23 ott, 06:39 | Swell sospende depositi e prelievi finché il NAV non sarà corretto | Post su X di @swellnetworkio |
Il legame con Railway è un’ipotesi, e lo dice Spreek stesso
Il punto interrogativo di Spreek indica Railway, la piattaforma di hosting per applicazioni. Il 21 ottobre Railway ha reso noto un’attività anomala sui sistemi che conservano le variabili d’ambiente dei suoi clienti, ha detto che alcuni valori cifrati potrebbero essere stati letti e alcuni decifrati, ha sospeso i deployment e ha chiesto a tutti gli utenti di ruotare chiavi API e altre credenziali. Un investigatore crypto noto come Tay ha poi collegato furti per circa 371.000 dollari su almeno 19 catene EVM a chiavi conservate su Railway, come abbiamo raccontato in il nostro articolo sulla violazione di Railway e sul furto crypto da 370.000 dollari.
Nulla di quanto pubblicato finora collega Swell a Railway. Secondo KuCoin e ChainCatcher, lo stesso Spreek ha definito il legame una speculazione, una semplice coincidenza temporale, senza prove concrete. Swell non ha detto dove fossero custodite le sue chiavi.
Il TVL di Swell resta intorno ai 29 milioni di dollari per prodotto
Se i detentori stessero correndo verso l’uscita, i dati non lo mostrano. DefiLlama indicava Swell Liquid Staking, il prodotto swETH su Ethereum, a 29.053.814 dollari alle 09:45 UTC del 23 ottobre, dopo i 28,25 milioni del 21 ottobre e i 29,09 milioni del 22. La variazione a un giorno era di -1,26%. Swell Liquid Restaking, quello dietro rswETH, si fermava a 29.189.120 dollari, in calo dello 0,74% sul giorno.
Valgono due avvertenze. Un protocollo bloccato non può registrare deflussi attraverso i propri contratti, quindi un TVL stabile dopo la sospensione dice poco sulla domanda. E DefiLlama valuta i token in parte a partire dal tasso on-chain, che secondo i ricercatori è stato spinto verso l’alto: per questo non consideriamo la cifra una misura della copertura. I prodotti minori di Swell sono molto al di sotto di questi livelli: Swell L2 Farm a 1,84 milioni di dollari, Swell Earn a 0,51 milioni, il token di restaking su bitcoin a 0,47 milioni e il bridge di Swellchain a 0,34 milioni.
| Prodotto Swell (DefiLlama) | TVL, 23 ott | Variazione a 1 giorno |
|---|---|---|
| Liquid Staking (swETH) | 29,05 milioni di dollari (09:45 UTC) | -1,26% |
| Liquid Restaking (rswETH) | 29,19 milioni di dollari | -0,74% |
| L2 Farm | 1,84 milioni di dollari | n.d. |
| Earn | 0,51 milioni di dollari | n.d. |
| BTC LRT | 0,47 milioni di dollari | n.d. |
| Swellchain Bridge | 0,34 milioni di dollari | n.d. |
Perché un tasso gonfiato conta oltre Swell
swETH è un token di liquid staking: si deposita ETH, il protocollo lo mette in staking e si riceve un token il cui valore in ETH cresce con l’arrivo delle ricompense. rswETH fa lo stesso aggiungendo il restaking. Il tasso di cambio è l’intera promessa: dice a ogni applicazione quanti ETH vale un token. Chi cerca di capire come funziona lo staking di Ethereum parte da qui.
Per questo Odysseus ha puntato il dito sul lending. Un mercato di prestiti che prezza swETH o rswETH dal tasso on-chain, anziché dai prezzi di scambio, tratterebbe il valore gonfiato come garanzia reale. Chi detiene i token potrebbe allora prendere in prestito più di quanto la copertura in ETH consenta. Non abbiamo trovato alcun mercato di lending, su Aave, Morpho o altrove, che annunci il congelamento di swETH o rswETH o dichiari un’esposizione. Significa che non lo sappiamo, non che non ce ne sia.
Il rischio quest’anno non è teorico. Il 18 aprile 2026 un attaccante ha coniato rsETH senza copertura, il token di restaking di Kelp DAO, sfruttando un difetto di un bridge LayerZero, e lo ha usato come garanzia su Aave. Blockworks Research ha stimato i debiti inesigibili di Aave tra 124 e 230 milioni di dollari, con un’esposizione di Morpho di circa 1 milione, e il caso è ancora discusso sul forum di governance di Aave. Nulla indica che sia accaduto lo stesso con i token di Swell.
Che cosa possono fare ora i detentori di swETH e rswETH
Molto poco, per costruzione. Swell ha detto il 22 ottobre che non serviva alcuna azione e il 23 ottobre, secondo TechFlow, ha messo in guardia dal phishing chiedendo di usare solo i canali ufficiali. Incidenti come questo attirano falsi siti di «claim» e di «migrazione», quindi qualunque link che prometta un prelievo anticipato merita sospetto.
Per chi in Italia detiene questi token, il quadro regolatorio non offre una scorciatoia: non abbiamo trovato alcuna comunicazione di Consob, Banca d’Italia o OAM sul caso, e Swell non compare tra i prestatori di servizi autorizzati a cui un cliente potrebbe rivolgere un reclamo formale. Chi deve dichiarare plusvalenze o minusvalenze in euro farà bene a conservare date, importi e screenshot delle operazioni sospese, in attesa di capire come Swell riaprirà.
Chi usa Railway ha un compito suo, a prescindere da come finirà con Swell. Il consiglio di Railway è ruotare tutte le variabili d’ambiente, le chiavi API e le credenziali dei registry memorizzate e controllare i log. La maggior parte delle perdite crypto nasce da chiavi e permessi dei contratti, non dalla blockchain in sé, come spiega la nostra guida su dove avvengono davvero gli hack crypto.
Le domande aperte prima che Swell riapra
La riapertura dipende da un solo passaggio senza data, la correzione del NAV. Diverse cose cambieranno la lettura della vicenda quando arriverà.
- Quale sia il NAV corretto, e se Swell riporti entrambi i token ai tassi citati dai ricercatori, 1,133254 ETH e 1,082464 ETH, o a qualcosa di diverso.
- Se i quattro contratti di aggiornamento descritti da Spreek esistano, chi li controlli e se le chiavi che stanno dietro siano state ruotate.
- Dove fosse custodita la chiave compromessa, se c’è stata una compromissione, e se Railway c’entri qualcosa.
- Se qualche mercato di lending o pool DEX abbia recepito il tasso gonfiato, e chi sopporterebbe una perdita in quel caso.
Il prossimo segnale da seguire è un post-mortem o un post di governance di Swell che indichi la causa e il metodo della correzione. Alle 10:50 UTC di venerdì non era comparso nessuno dei due.