blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">Il CEO di Zilliqa, Alexander Zahnd, si è dimesso «su sua richiesta», come ha annunciato l’azienda martedì sera in un thread su X pubblicato alle 16:51 UTC del 27 ottobre. Il consiglio di amministrazione ha assunto la supervisione diretta, affiancato da una società esterna che si occupa di consulenza su cybersicurezza e governance, finché non sarà nominato un leader permanente.
A mezzogiorno di mercoledì 28 ottobre non era arrivato altro dall’azienda: nessun CEO ad interim, nessuna cifra sulle perdite, nessun nuovo post sul blog. X-Bridge, il ponte cross-chain di Zilliqa, resta sospeso e la società non ha precisato da quando. Secondo PlunderSwap, gli exploit che hanno svuotato dei pool sulla sua rete sono iniziati la sera del 22 ottobre.
Zilliqa non ha dato alcun motivo per l’addio oltre alla richiesta del CEO stesso, e il thread non lo collega agli incidenti. Non indica nemmeno l’autore dell’attacco né una causa. Ha però elencato che cosa è coinvolto: X-Bridge e i contratti proxy ZRC2 usati da alcuni pool di liquidità, tra cui quelli di PlunderSwap. Quattro i token colpiti: zUSDT, SEED, kUSD e Zoge. Lo ZIL nativo e la rete Zilliqa EVM, ha detto l’azienda, non sono interessati.
Agli utenti è stato chiesto di non toccare X-Bridge né i pool coinvolti fino a nuovo avviso. Zilliqa afferma di stare ruotando tutte le chiavi operative e di collaborare con gli exchange e con le forze dell’ordine.
Dimissioni del CEO di Zilliqa: che cosa conferma il thread e che cosa tace
Il thread è breve: cinque post, inviati a distanza di tre secondi l’uno dall’altro. Si apre dicendo che l’indagine con una società esterna di cybersicurezza è in corso. Due giorni prima, il 25 ottobre, Zilliqa aveva scritto su X di avere incaricato una società «specializzata in cybersicurezza e attacchi basati su IA» di aiutarla, senza nominarla. Nemmeno l’aggiornamento del 27 ottobre la nomina.
Sul cambio al vertice la formulazione è chiara. Zahnd si è dimesso su sua richiesta; il consiglio ora guida direttamente l’azienda, con l’aiuto di una società esterna di consulenza su cybersicurezza e governance. Zilliqa non ha nominato un CEO ad interim, non ha detto chi siede nel consiglio e non ha indicato una data per la nomina definitiva. Nel comunicato non c’è alcuna accusa a Zahnd, e nessuna delle testate che lo hanno rilanciato ha riferito il contrario.
L’ultimo post dice che Zilliqa resterà concentrata su «la sicurezza dei fondi degli utenti e la piena trasparenza» e che condividerà gli ultimi sviluppi aziendali con i partner strategici LTIN e Telecom Liechtenstein. I due partner contano nel piano attuale di Zilliqa: da luglio l’azienda propone la propria chain come livello di conformità e regolamento per la finanza regolamentata, con LTIN che emette per essa identificativi verificabili delle imprese (vLEI).
Ciò che il thread omette è gran parte di quello che i detentori vorrebbero sapere. Non c’è un importo in dollari per il bridge, né il numero di utenti coinvolti, né una data di riapertura di X-Bridge, né una parola sui rimborsi. Quando abbiamo controllato il blog di Zilliqa la mattina del 28 ottobre (UTC), non conteneva alcun post sugli incidenti; l’ultimo articolo era datato 24 settembre.
PlunderSwap: quattro pool hanno perso circa 33.700 dollari tra il 22 e il 23 ottobre
Il resoconto più chiaro del primo exploit arriva da PlunderSwap, un exchange decentralizzato che gira sulla chain EVM di Zilliqa. In un thread di avvertimento pubblicato il 23 ottobre alle 05:44 UTC, ha dichiarato che diversi suoi pool V3 con token basati su ZRC2 sono stati svuotati tra le 22:10 UTC del 22 ottobre e circa le 01:40 UTC del 23 ottobre.
Secondo PlunderSwap la causa è un bug nel software dei nodi di Zilliqa, la versione zq2 v0.21.10, e non nei propri contratti. Nella sua descrizione, l’attaccante pagava gli swap con token ZRC2 i cui trasferimenti comparivano durante la transazione ma venivano scartati al momento della registrazione sulla chain. I pool versavano asset reali e non ricevevano nulla in cambio.
Il thread di Zilliqa parla di «contratti proxy ZRC2» coinvolti e non cita il nodo. Le due descrizioni non si contraddicono, dato che un contratto proxy gira sul nodo, ma Zilliqa non ha pubblicato una propria causa tecnica, quindi il bug del nodo resta la versione di PlunderSwap.
Nello stesso thread PlunderSwap ha pubblicato questi dati:
| Voce (PlunderSwap, 23 ottobre) | Dato |
|---|---|
| Pool colpiti direttamente (tutti V3) | zUSDT/WZIL 0,01%, SEED/kUSD 1%, WZIL/SEED 0,25%, ZOGE/WZIL 0,25% |
| ZIL sottratti a quei pool | circa 15 milioni di ZIL (circa 31.000 dollari) |
| Perdite a catena in altri pool | circa 1,3 milioni di ZIL (circa 2.700 dollari) |
| Totale stimato da PlunderSwap | circa 33.700 dollari |
| Proventi ricondotti a un hot wallet di un exchange | 12,3 milioni di ZIL |
PlunderSwap ha spiegato che i 12,3 milioni di ZIL sono finiti in un unico hot wallet di un exchange centralizzato, ha pubblicato l’indirizzo e ha chiesto a diversi grandi exchange di identificarlo e congelarlo. Nel thread di Zilliqa si dice che l’azienda lavora con gli exchange, ma non si precisa se dei fondi siano stati congelati. PlunderSwap ha scritto anche che i pool danneggiati non possono essere riparati né ridistribuiti on-chain e che solo un ripristino a livello di chain riporterebbe i fornitori di liquidità alla situazione di partenza. Ha chiesto a Zilliqa di darvi priorità. Il thread del 27 ottobre non risponde a questa richiesta.
I valori in dollari sono quelli di PlunderSwap, al prezzo dello ZIL del 23 ottobre, e riguardano soltanto i pool. Non sono un totale dell’intero incidente.
X-Bridge è chiuso in entrambe le direzioni e nessuno ha pubblicato una perdita verificata
X-Bridge collega Zilliqa a Ethereum e a BNB Chain. Gli utenti bloccano i token da un lato e ricevono una versione wrapped, come zUSDT, su Zilliqa. Se i contratti o le chiavi che custodiscono il lato bloccato vengono compromessi, i token wrapped possono perdere la copertura. La nostra guida al funzionamento dei bridge cross-chain spiega il meccanismo lock-and-mint e perché attira gli attaccanti.
Secondo Zilliqa X-Bridge resta sospeso, e The Defiant riferisce che è chiuso in entrambe le direzioni. Il 24 ottobre, tre giorni prima dell’aggiornamento di Zilliqa, ZilStream, un sito di dati di mercato dedicato a Zilliqa, ha scritto su X che sulla chain c’erano «più exploit in corso». Sosteneva che il bridge fosse stato violato, che tutti i fondi sul lato Ethereum fossero stati rubati e che la situazione durasse da più di due settimane. L’affermazione non è confermata: Zilliqa non l’ha né confermata né smentita e non ha indicato alcuna cifra per il bridge.
Una stima in dollari per il bridge è circolata in alcuni titoli di giornale. Non l’abbiamo trovata in nessuna dichiarazione di Zilliqa o di PlunderSwap e nessuna seconda fonte l’ha confermata, quindi non la riportiamo. L’unica cifra di perdita pubblicata da una parte coinvolta è quella di PlunderSwap: 33.700 dollari per i suoi pool.
Un dettaglio da tenere presente: zUSDC, l’USDC bridged che Zilliqa ha aggiunto a X-Bridge il 5 marzo 2026, non figura nell’elenco dei token colpiti di Zilliqa. zUSDT sì.
SEED chiude i battenti e i detentori di quattro token sono invitati a starne alla larga
Il primo progetto a trarre le proprie conclusioni è stato SEED. Il 27 ottobre alle 13:24 UTC, tre ore e mezza prima del thread di Zilliqa, l’account Kalijo dietro SEED ha annunciato che il token viene liquidato. L’exploit del 22 ottobre è avvenuto a livello di rete Zilliqa e ha svuotato gran parte della liquidità di SEED, ha scritto, e Zilliqa avrebbe confermato che non correggerà né ripristinerà nulla di ciò che riguarda SEED. Zilliqa non l’ha detto pubblicamente.
Il team di SEED ha dichiarato che i detentori saranno rimborsati pro quota in USDC (non zUSDC) con i fondi di yield farming off-chain del progetto, in base ai saldi di uno snapshot precedente all’exploit, al blocco 38.738.522. I token acquistati dopo quel blocco non sono coperti. Il team non ha detto quanto denaro ci sia in quei fondi né quanto il rimborso si avvicini al valore pieno.
Per gli altri tre token, zUSDT, kUSD e Zoge, nessuno ha annunciato un piano di rimborso. Dal 24 ottobre PlunderSwap ha messo avvisi su tutto il sito e chiede agli utenti di non fare trading né aggiungere liquidità in nessun pool che li contenga.
I truffatori sono già al lavoro. Nelle risposte sotto il thread di Zilliqa i lettori venivano indirizzati a un account fasullo che offriva una verifica di «idoneità». Nello stesso thread Zilliqa scrive che non invierà mai messaggi diretti e non chiederà mai una seed phrase o chiavi private. Chi detiene ZIL in self-custody non ha alcun motivo di digitare una frase di recupero su un sito per controllare questo incidente.
Zahnd ha guidato Zilliqa per 17 mesi; il suo predecessore se n’era andato nell’aprile 2025
Zahnd è stato direttore finanziario di Zilliqa per tre anni prima che l’azienda lo nominasse CEO ad interim il 6 maggio 2025. Ha sostituito Matt Dyer, che aveva lasciato la carica di amministratore delegato nell’aprile 2025. Il blog di Zilliqa attribuiva a Dyer la guida della risposta all’exploit di X-Bridge del febbraio 2025 e non indicava il motivo della sua uscita.
Entrambe le uscite sono arrivate a poche settimane da problemi su X-Bridge. Si tratta solo di una questione di date. Zilliqa non ha mai collegato nessuno dei due addii a un incidente di sicurezza e, nel caso di Zahnd, ha detto che se n’è andato su sua richiesta. Quando subentrò, nel maggio 2025, Zahnd disse di essere «onorato di guidare Zilliqa in questa fase interinale».
Senza un CEO ad interim, le persone che rispondono dell’indagine, del bridge e di eventuali risarcimenti sono, per ora, il consiglio e i suoi consulenti esterni.
Febbraio 2025, luglio 2026, ottobre 2026: una serie di falle di sicurezza
Non è il primo brutto mese per Zilliqa. L’elenco che segue si limita a ciò che l’azienda e le testate citate hanno pubblicato, con le date.
6 febbraio 2025: il primo exploit di X-Bridge
Un bug in un contratto di gestione dei token aggiunto da poco ha permesso a un attaccante di coniare 531 zETH e 2,2133 zBNB senza bloccare alcuna garanzia, secondo il post-mortem di Zilliqa del 20 febbraio 2025. L’attaccante ha venduto 140,378 zETH su ZilSwap per circa 42.000 dollari in USDT. Zilliqa ha spento il relayer, messo in pausa i contratti, emesso token sostitutivi e riaperto il bridge in forma limitata.
Luglio 2026: furto dal cold wallet di un partner e falla di firma su Ledger
Il 20 luglio 2026 Zilliqa ha dichiarato che dei ZIL erano stati rubati dal cold wallet di un exchange partner non nominato, e ha chiesto agli exchange di sospendere depositi e prelievi di ZIL, ha riportato Crypto Briefing. Né l’importo né l’exchange sono stati resi noti.
Più o meno nello stesso periodo Zilliqa ha disattivato le transazioni legacy per impedire agli attaccanti di sfruttare una falla di firma nell’app Zilliqa per Ledger. Nei testi che abbiamo letto l’azienda non dice se i due eventi siano lo stesso, quindi li teniamo distinti.
2 settembre 2026: fork, uno strumento di migrazione e un voto sui risarcimenti
In un post del blog del 2 settembre, Zilliqa ha definito l’incidente legato a Ledger «un grave fallimento che è costato fondi veri a persone vere». Ha descritto un hard fork che ha spostato gli ZIL di un primo gruppo di dieci exchange partner dagli indirizzi legacy a indirizzi Zilliqa EVM, un secondo fork previsto a metà settembre, uno strumento a prova a conoscenza zero per i detentori in self-custody rimasti su indirizzi legacy e un voto della community, in programma, sull’emissione di nuovi ZIL per risarcire le vittime. Il recupero per vie legali, ha detto, è possibile ma probabilmente lento e incerto. Il post non indicava né l’importo rubato né il numero delle vittime.
16 ottobre 2026: Upbit e Bithumb eliminano ZIL dal listino
Sei giorni prima che i pool di PlunderSwap fossero svuotati, Zilliqa ha dichiarato su X di essere «delusa» dalla decisione di Upbit e Bithumb, due dei maggiori exchange sudcoreani, di rimuovere ZIL dal listino dopo mesi di confronto con DAXA, l’organismo di autoregolamentazione degli exchange coreani, sull’incidente di Ledger. Entrambi consentono ancora ai detentori di prelevare ZIL su Zilliqa EVM. Zilliqa aveva già eseguito un terzo hard fork il 5 ottobre per spostare i saldi di Bithumb, Bybit e Uphold sui nuovi indirizzi.
Il thread del 27 ottobre parla di «recenti incidenti di sicurezza», al plurale. Non dice se gli exploit di ottobre abbiano qualcosa a che fare con gli eventi di luglio.
Il prezzo di ZIL si è mosso appena dopo la notizia sul CEO
ZIL non ha subito vendite dopo le dimissioni: la pagina pubblica di CoinGecko mostrava il token in lieve rialzo nelle 24 ore la mattina del 28 ottobre, con una capitalizzazione di circa 39 milioni di dollari.
Il token era già basso. Dopo il furto di luglio, ZIL è sceso da circa 0,0028 dollari a un minimo di 0,0024, riportava allora Crypto Briefing. Mercoledì mattina era ancora sotto quel minimo di luglio. Nulla di tutto ciò è un giudizio su dove andrà il prezzo.
Domande aperte e che cosa seguire nei prossimi giorni
Diverse risposte decideranno quanto sarà grave questo episodio:
- Quanto è stato sottratto tramite X-Bridge e se Zilliqa o la società esterna pubblicheranno una cifra.
- Se Zilliqa confermerà la diagnosi di PlunderSwap, un bug del nodo in zq2 v0.21.10, e se seguirà una versione corretta del nodo.
- Se un exchange congelerà i 12,3 milioni di ZIL che PlunderSwap ha ricondotto a un hot wallet.
- Se Zilliqa accetterà il ripristino a livello di chain chiesto da PlunderSwap o offrirà un’altra strada ai fornitori di liquidità dei quattro pool.
- Chi nominerà il consiglio come CEO, e quando, e se le società esterne verranno rese note.
- Quando riaprirà X-Bridge e che cosa ne sarà, nel frattempo, degli zUSDT, kUSD e Zoge in mano agli utenti.
Altri aggiornamenti arriveranno sull’account X di Zilliqa, dice l’azienda. Fino ad allora l’indicazione di Zilliqa e di PlunderSwap è la stessa. Non usare X-Bridge e non fare trading né fornire liquidità nei pool che contengono i quattro token coinvolti.
Per chi opera dall’Italia, al momento non c’è nulla di specifico: né Zilliqa né le fonti citate parlano di Consob, OAM o di utenti europei, e non possiamo inventare un impatto locale che non c’è.
Per chi si avvicina all’argomento, la nostra voce di glossario su che cos’è un bridge cross-chain spiega le basi, e il nostro approfondimento su dove avvengono davvero gli hack crypto mostra perché bridge e smart contract vengono colpiti molto più spesso delle chain stesse.