La società di sicurezza CertiK segnala che un attacco oracle finanziato tramite flash loan ha distorto un riscatto di CoreVault e svuotato l'InsurancePool del protocollo, trasformando un guasto dell'input dei prezzi in un evento immediato di liquidità per i riscatti su BNB Smart Chain. Per depositanti e fornitori di liquidità, la domanda centrale non è solo quanto l'attaccante abbia estratto, ma se il percorso di riscatto, le sue protezioni basate sull'oracle e il pool di supporto rimangano utilizzabili in sicurezza mentre il protocollo accerta i fatti.

Cosa ha riferito CertiK

In un alert pubblicato il 4 novembre 2026, CertiK Alert ha dichiarato che un attacco oracle finanziato tramite flash loan ha gonfiato un riscatto di CoreVault di circa 33 volte. Tale cifra è un'attribuzione di una società di sicurezza, non ancora una post-mortem di CoreVault confermata in modo indipendente. Tuttavia, un esito di riscatto di tale entità è coerente con un calcolo del protocollo che ha ricevuto un prezzo o un input di conversione economicamente distorto.

CertiK ha inoltre affermato che la manipolazione ha svuotato l'InsurancePool e che l'attaccante ha trattenuto 160,26 BNB — valutati dalla società circa 112,2 mila dollari — dopo aver invertito l'operazione. Negli exploit con flash loan, le posizioni vengono aperte e chiuse all'interno della finestra di esecuzione di una singola transazione, quindi i proventi trattenuti possono differire notevolmente dai fondi lordi che hanno transitato per il pool interessato. Se confermato, lo svuotamento dell'InsurancePool ha implicazioni che vanno ben oltre l'entità dell'estrazione: una riserva progettata per assorbire le perdite o supportare i riscatti non può più essere considerata in grado di attutire il prossimo evento avverso di bilancio.

Sequenza riferita rispetto al quadro confermato

L'alert di CertiK collega la presunta transazione di exploit, 0x072a10a579e2a8afa26a681205a2aaaa38f74bcb9d1064b12bd9e9ebe2c598b3, su BscScan. La traccia dell'explorer non era leggibile in modo indipendente al momento della ricerca, quindi il percorso completo del flash loan, le chiamate oracle coinvolte, i contratti interessati, i flussi di saldo e la presunta inversione dell'operazione restano tutti non confermati sulla base delle prove disponibili.

In un design di vault, un oracle non deve essere l'unico input contabile per produrre uno squilibrio grave nei riscatti. Un input compromesso o insufficientemente robusto può distorcere il valore dell'asset o il termine di conversione delle quote utilizzato dalla funzione di riscatto. Il gonfiamento del riscatto riferito costituisce quindi il segnale di rischio osservabile chiave, mentre la causa principale precisa — dipendenza dal prezzo spot, dati obsoleti, ipotesi di liquidità deboli o altro guasto di integrazione — non è stata accertata.

Come i flash loan amplificano il rischio di manipolazione degli oracle

Un flash loan è un prestito limitato alla transazione: la liquidità viene presa in prestito, utilizzata e rimborsata prima del completamento della transazione, oppure l'intera transizione di stato viene annullata. Nella sequenza descritta da CertiK, tale capitale temporaneo avrebbe fornito la forza di bilancio necessaria per muovere o sfruttare una condizione di mercato rilevante per l'oracle, senza richiedere all'attaccante di prefinanziare l'intera posizione.

Il finanziamento è distinto dalla condizione dell'oracle

Il prestito in sé non è una prova di un difetto dell'oracle. La questione di sicurezza è se la logica di riscatto di CoreVault si sia affidata a un prezzo, a una misura della profondità di liquidità o a un input di conversione che poteva essere influenzato economicamente nella stessa finestra di esecuzione atomica. Il gonfiamento del riscatto riferito da CertiK è la prova di un output anomalo, non una spiegazione dichiarata del guasto del controllo.

Questa distinzione è importante per i fornitori di liquidità: una sospensione dell'accesso ai flash loan, anche se tecnicamente fattibile, non risolverebbe da sola una dipendenza di valutazione insicura. Lo svuotamento riferito dell'InsurancePool concentra invece l'attenzione sull'ordine di allocazione delle perdite del protocollo — gli utenti devono sapere quali passività precedono la riserva residua e se la contabilità delle quote LP o del vault sia stata ricalcolata.

Incidenti di manipolazione dei prezzi hanno sollevato preoccupazioni simili altrove in DeFi, incluso un attacco segnalato al money market di Nostra Finance. Il rapporto su CoreVault è più limitato nell'ambito, ma il suo dichiarato impatto sui riscatti evidenzia la stessa linea di rottura nella progettazione del protocollo: la liquidità che appare disponibile sotto una valutazione manipolata può essere rimossa prima che gli arbitraggi ordinari ripristinino il prezzo.

Cosa dovrebbero monitorare gli utenti di CoreVault

Nessun comunicato ufficiale di CoreVault, divulgazione dell'indirizzo del contratto, avviso di sospensione, dichiarazione sull'impatto sugli utenti o piano di risoluzione era disponibile nei registri al momento della pubblicazione. Gli utenti dovrebbero quindi considerare lo stato attuale dei riscatti come sconosciuto fino a quando comunicazioni verificate del protocollo o un aggiornamento attribuibile dal fornitore di sicurezza non indichino il contrario — invece di dedurre la sicurezza da una transazione riuscita tramite l'interfaccia.

L'elenco pratico di monitoraggio è compatto: disponibilità dei riscatti, aggiornamenti dell'oracle o dei parametri di prezzo, variazioni dei saldi dell'InsurancePool e una post-mortem che identifichi i contratti interessati e il piano di risoluzione. Due elementi successivi meritano pari peso: se un'analisi on-chain indipendente conferma o rivede il resoconto transazionale di CertiK, e se il protocollo decide di ricapitalizzare l'InsurancePool o ristrutturare il modo in cui la riserva supporta i riscatti. Lo svuotamento riferito rende questi elementi più importanti dei commenti secondari del mercato, perché determinano se la liquidità residua possa onorare le uscite a un valore patrimoniale netto difendibile.

Informazioni confermate e questioni irrisolte

Il quadro verificato si limita all'alert di CertiK: la società ha riferito il gonfiamento del riscatto, lo svuotamento dell'InsurancePool e i proventi dopo l'inversione, mentre la transazione sottostante non è stata analizzata in modo indipendente. Affermazioni secondo cui CoreVault abbia sospeso le operazioni, rimborsato gli utenti, aggiornato i contratti o quantificato le perdite sarebbero premature, perché nessuna tale dichiarazione del protocollo era inclusa nelle prove.

Per un contesto di sicurezza più ampio, la dashboard di CertiK, contrassegnata come aggiornata il 4 novembre 2026, mostrava 183,0 milioni di dollari di perdite totali per l'attuale periodo di figure chiave di novembre 2026. Tale cifra della dashboard è un contesto di settore piuttosto che un'attribuzione a CoreVault, ma sottolinea perché gli avvisi di incidente non verificati dovrebbero comunque suscitare un'attenta revisione dell'esposizione agli oracle e dei controlli sui prelievi.

Valutazione del rischio del protocollo

Il rischio immediato a livello di smart contract è concentrato al confine tra riscatto e oracle e nella disponibilità dell'InsurancePool dopo lo svuotamento riferito. La governance deve ora determinare se parametri, design dell'oracle, permessi di emergenza o regole di allocazione della riserva richiedano modifiche; nessuna data per la prossima votazione di governance è stata identificata nelle prove disponibili. In tutto il DeFi, il rafforzamento di questo confine assume comunemente la forma di prezzi medi ponderati nel tempo, feed oracle multi-fonte, controlli di scostamento che rifiutano quotazioni al di fuori di un intervallo definito, o controlli sui prelievi attivati dal rilevamento di anomalie — le prove disponibili non accertano quali, se presenti, CoreVault impieghi attualmente.

Finché CoreVault non pubblicherà riscontrati contrattuali attribuibili, la liquidità resta esposta al rischio di concentramento ovunque un singolo percorso di riscatto, una dipendenza dai prezzi o un pool di supporto governino la capacità di uscita. Depositanti e fornitori di liquidità dovrebbero dare priorità allo stato verificato dei riscatti e a qualsiasi risoluzione approvata dalla governance rispetto ad ipotesi speculative di recupero — in particolare se il protocollo conferma che il riportato riscatto anomalo ha interessato la contabilità del collaterale condiviso.

Questo articolo è stato originariamente pubblicato su DefiLiban.