La società di sicurezza blockchain Blockaid ha rilevato un exploit in corso contro il bridge cross-chain Ethereum di Ankr. In un avviso pubblicato il 9 novembre 2026, l'azienda ha riferito che un aggressore aveva drenato circa 292.000 dollari dal bridge attraverso cinque prelievi non autorizzati — avvertendo che l'attacco era ancora in corso al momento dell'emissione dell'allerta.

🚨Blockaid detected an ongoing exploit on @ankr on Ethereum. An attacker submitted five withdraw calls on Ankr's Ethereum cross-chain bridge, using a tiny Optimism deposit to unlock the bridge's full locked inventory to a new wallet. ~$292k drained from the bridge so far across ~5 txs. Attack still ongoing. 🧵

— Blockaid (@blockaid_) November 9, 2026

L'incidente solleva interrogativi su come il bridge verifica le transazioni cross-chain e autorizza il rilascio degli asset. I bridge cross-chain sono da tempo tra le infrastrutture più prese di mira nel settore: detengono grandi pool di asset bloccati per conto di due reti contemporaneamente, e diversi dei maggiori exploit nella storia delle criptovalute li hanno coinvolti. Questotrack record spiega perché le società di sicurezza monitorano costantemente i contratti dei bridge e perché persino un drenaggio di sei cifre genera una diffusa allerta pubblica.

Un deposito su Optimism collegato a cinque prelievi

Secondo Blockaid, l'aggressore ha effettuato cinque chiamate di prelievo sul bridge Ethereum di Ankr. Tali transazioni sarebbero state effettuate depositando una piccola quantità di fondi da Optimism, che è stata poi utilizzata per sbloccare asset dal contratto del bridge Ethereum. La società di sicurezza ha stimato la perdita totale in circa 292.000 dollari distribuiti su circa cinque transazioni, con i proventi inviati a un wallet di prelievo appena creato.

I fondi rubati non erano limitati a un singolo asset. Comprendevano invece più token, tra cui token di liquid staking legati ad Ankr e ANKR, la criptovaluta nativa di Ankr.

In condizioni normali, un bridge cross-chain sblocca gli asset su una catena dopo che un deposito è stato effettuato sulla catena di origine. Se la stessa transazione può essere presentata come prova di autorizzazione per un altro prelievo, un singolo deposito potrebbe potenzialmente essere riutilizzato più di una volta. L'avviso iniziale di Blockaid non ha dettagliato l'esatta vulnerabilità tecnica né spiegato come l'aggressore abbia aggirato i controlli di autorizzazione del bridge, ma lo schema punta a un malfunzionamento nella fase di verifica che precede il rilascio degli asset.

I wallet operatore di Ankr svuotati prima dell'attacco

Anche l'attività on-chain che ha preceduto i prelievi ha influito sull'incidente. Blockaid ha riferito che tra le 02:08 e le 04:06 UTC diversi wallet operatore di Ankr sono stati svuotati su Ethereum, Arbitrum e Linea, con i fondi depositati in un unico wallet di consolidamento.

L'aggressore ha quindi interagito con quel wallet per pagare la commissione del relayer che ha inviato le transazioni al bridge. La sequenza suggerisce che l'operazione sia stata eseguita solo dopo che l'aggressore aveva preparato l'infrastruttura transazionale necessaria. I soli movimenti di wallet, tuttavia, non mostrano come sia stato ottenuto l'accesso ai wallet operatore né se le loro chiavi private siano state compromesse.

Cinque transazioni hanno preso di mira il bridge Ethereum

Blockaid ha identificato due indirizzi legati all'exploit e ha condiviso una transazione di esempio che coinvolge il contratto del bridge compromesso. Tutti i prelievi hanno preso di mira lo stesso bridge Ethereum, e il capitale drenato è stato inviato al wallet di prelievo dell'aggressore.

La perdita riportata rappresenta l'importo drenato al momento della segnalazione di Blockaid, non un conteggio definitivo dell'incidente. Questa distinzione è significativa, perché l'attacco era ancora attivo quando la società di sicurezza ha dato l'allarme. Le perdite finali potrebbero cambiare a seconda di eventuali transazioni aggiuntive, nonché degli aggiustamenti di prezzo dei token interessati.

Con l'exploit ancora in corso al momento dell'allerta, gli sviluppi immediati da monitorare sono un conteggio delle perdite aggiornato, la divulgazione tecnica che spieghi come un singolo piccolo deposito potesse sbloccare l'inventario del bridge, ed eventuali risposte operative da parte di Ankr stessa. Blockaid ha contrassegnato il suo avviso come inizio di un thread, segnalando che ulteriori dettagli sull'incidente potrebbero seguire.

L'incidente mette sotto osservazione la verifica cross-chain. I bridge dipendono da una comunicazione affidabile tra le reti, e la loro sicurezza si basa sulla corretta validazione di depositi, messaggi e autorizzazioni di prelievo. Un malfunzionamento in qualsiasi parte di questo processo può esporre gli asset custoditi nei contratti del bridge, anche quando il deposito originale è legittimo.