Una falla di autorizzazione nella blockchain di BounceBit ha permesso a un attaccante di trasferire token BB senza il permesso dei proprietari degli account, e il progetto ha deciso di chiudere definitivamente la propria chain autonoma. Invece di ricostruire la rete, BounceBit riemetterà BB su BNB Chain e calcolerà i saldi utilizzando uno snapshot precedente all'incidente.

— BounceBit (@bouncebit) August 21, 2026

286,5 milioni di BB trasferiti in un attacco di quattro ore

L'incidente è iniziato alle 21:02 UTC del 19 agosto 2026 ed è proseguito fino alle 01:54 UTC del 20 agosto. In quella finestra temporale, l'attaccante ha effettuato circa 14 transazioni da nove account della mainnet, muovendo circa 286.543.148 BB.

La vulnerabilità è stata identificata in una funzionalità di protocollo integrata fornita dallo stack Evmos. La funzione supporta account con lockup e vesting — ad esempio, operazioni in cui un account preleva token da un funder designato. Il protocollo era progettato per verificare che il funder avesse concesso l'autorizzazione al debito, ma tale autorizzazione non è stata applicata correttamente: un secondo controllo di autorizzazione è stato eseguito sul principal errato. Questo ha permesso a un chiamante di designare un account arbitrario come fonte di finanziamento.

BounceBit ha sottolineato che l'incidente è stato il risultato di un guasto a livello di protocollo, non di un attacco a un wallet. Nessuna chiave privata è stata rubata, nessuna firma è stata falsificata e nessun wallet utente, dispositivo hardware o account di exchange è stato compromesso. Questa distinzione è rilevante per utenti e controparti, perché l'esposizione era legata alla logica di autorizzazione a livello di chain anziché ad account singolarmente compromessi.

Chain arrestata e stato congelato

L'attaccante ha utilizzato due account principali e 15 contratti monouso per eseguire l'exploit. I fondi sono stati poi consolidati e spostati tramite indirizzi intermedi.

BounceBit ha interrotto la produzione di blocchi al blocco 20.702.857 — circa 42 minuti dopo l'ultimo trasferimento non autorizzato — alle 02:36:37 UTC del 20 agosto. Dopo l'arresto non si sono verificati ulteriori trasferimenti non autorizzati. L'arresto definisce inoltre lo stato del ledger utilizzato per la migrazione dei token, poiché i saldi e le inversioni vengono calcolati da uno snapshot fisso anziché dalla storia della chain successiva all'incidente.

Il progetto ha inoltre presentato richieste di assistenza e di congelamento agli exchange, ma non nei confronti degli indirizzi commingled, per i quali tale azione non è giustificata perché contengono fondi di terzi non correlati.

BB si trasferisce su BNB Chain

BounceBit non perseguirà ulteriori aggiornamenti della rete. Secondo il progetto, la chain dismessa basata su Evmos richiederebbe un importante intervento di re-platforming, che comporterebbe la ricostruzione, l'audit e la ri-validazione completa della rete.

BB sarà invece riemesso come token BEP-20 su BNB Chain, che fungerà da ambiente di esecuzione principale di BounceBit.

I saldi del token riemesso saranno basati sullo snapshot al blocco 20.697.260, con timestamp 21:02:35 UTC del 19 agosto — immediatamente prima del primo trasferimento non autorizzato. I 286.543.148 BB mossi durante l'incidente non saranno riportati nel token riemesso.

Anche le transazioni registrate tra lo snapshot e l'arresto della chain saranno invertite: i BB emessi in quel periodo saranno restituiti alla controparte e i BB inviati in quel periodo saranno restituiti al mittente. Lo snapshot includerà inoltre i BB detenuti come staked e i BB in unbonding a quel blocco.