Un aggressore ha sottratto oltre 100.000 dollari dalle riserve di GoodDollar sfruttando un bug nel protocollo Superfluid, colpendo i fondi del progetto sulla blockchain Celo. GoodDollar gestisce un programma di reddito di base universale che distribuisce ogni giorno una piccola quantità del proprio token G$ a quasi un milione di persone. La riserva interessata sostiene questo token.

Secondo il report di CryptoSlate, che citava un aggiornamento di GoodDollar del 9 settembre, il deflusso segnalato dalle riserve era suddiviso tra Celo e la rete XDC. Le cifre non sono state confermate indipendentemente on-chain e GoodDollar ha dichiarato che nessuna delle due riserve è stata completamente svuotata.

Deflussi segnalati dalle riserve

Secondo il report, un aggressore ha scambiato 86.588 cUSD prelevandoli dalla riserva di GoodDollar su Celo. Un secondo deflusso, pari a 20.857 dollari, proveniva dalla riserva del progetto sulla rete XDC. Le informazioni disponibili non spiegano come il deflusso da XDC fosse collegato alla vulnerabilità relativa a Celo.

Nel complesso, gli importi segnalati superano i 100.000 dollari. Rappresentano deflussi riportati e non una perdita netta finale confermata.

Gli utenti di GoodDollar reclamano ogni giorno una piccola quantità di G$. Il progetto mantiene riserve a sostegno del token, e queste riserve erano la fonte dei fondi coinvolti nell’incidente.

Il bug di Superfluid ha colpito l’implementazione su Celo

L’incidente è stato collegato a Superfluid, un protocollo che consente i “money stream”, ovvero pagamenti che fluiscono continuamente nel tempo. GoodDollar utilizza Superfluid per distribuire il proprio reddito giornaliero.

In una divulgazione preliminare pubblicata l’8 settembre, il Security Council di Superfluid ha dichiarato che una “Super App” malevola — un programma automatizzato collegato a Superfluid — aveva aggirato il normale processo di liquidazione degli stream su Celo.

Di conseguenza, i saldi G$ che avrebbero dovuto essere liquidati sono rimasti disponibili. L’aggressore ha quindi scambiato tali saldi con asset della riserva di GoodDollar e con altri pool di liquidità su Celo, secondo quanto dichiarato dal consiglio.

Il Security Council ha affermato che la vulnerabilità dipendeva dalla specifica configurazione di Superfluid su Celo. Le altre reti che utilizzano Superfluid non sono state colpite da questa particolare falla. Anche GoodDollar ha attribuito l’incidente su Celo al bug di Superfluid.

GoodDollar ha scritto su X:

Update: The incident affecting GoodDollar on Celo was due to a bug in the Superfluid protocol that allowed a malicious Super App to bypass Superfluid’s normal stream liquidation process. As a result, G$ balances that should have been liquidated remained available, leaving more… — GoodDollar 💙🌏 (@gooddollarorg) September 9, 2026

Il post è disponibile sull’account X di GoodDollar.

Cronologia della risposta

Il Security Council ha dichiarato che un avviso dell’infrastruttura aveva identificato per la prima volta account Celo insolventi il 3 settembre alle 19:11 UTC.

Superfluid ha distribuito una correzione d’emergenza su Celo e ripristinato la whitelist delle Super App il 4 settembre alle 14:00 UTC. Tutti gli account insolventi sono stati chiusi un’ora dopo, alle 15:00 UTC.

Il consiglio ha inoltre esaminato i processi di registrazione delle Super App su tutte le reti per invalidare i deployer autorizzati inattivi o inutilizzati, secondo il membro del consiglio hellwolf. L’esame più ampio non indica che altre reti siano state esposte alla vulnerabilità specifica di Celo.

Il consiglio ha dichiarato che il percorso dell’exploit non poteva più essere riprodotto dopo la correzione.

Recupero e incertezze ancora aperte

I deflussi segnalati non determinano l’impatto finanziario finale dell’incidente. GoodDollar non ha comunicato quanto, eventualmente, potrebbe essere recuperato dopo gli interventi correttivi. Anche i pool di liquidità esterni di G$ sono stati colpiti, ma le perdite relative a tali pool non sono state divulgate.

GoodDollar ha dichiarato che la riscossione su Celo, i trasferimenti di G$ e la verifica dell’identità erano ripresi, secondo CryptoSlate. Tuttavia, le operazioni sulle riserve sia su Celo sia su XDC, così come il bridging, restavano sospese al 10 settembre.

Il progetto ha inoltre consigliato agli utenti di non scambiare G$ per il momento. Ha spiegato che la liquidità limitata potrebbe causare uno slippage significativo e prezzi anomali, facendo eseguire le operazioni a condizioni inaspettatamente sfavorevoli.

Diversi aspetti dell’incidente restano irrisolti. Il collegamento tra il bug di Superfluid specifico di Celo e il deflusso da XDC non è stato spiegato. La divulgazione di Superfluid dell’8 settembre era preliminare e il consiglio ha dichiarato che sarebbe seguito un rapporto tecnico completo. L’entità dell’esposizione delle riserve, gli effetti sugli utenti e l’importo finale recuperato restano quindi non verificati.

I fatti riportati descrivono lo stato attuale dell’incidente, ma non stabiliscono una perdita netta finale né l’esito del processo di recupero. L’avvertimento di GoodDollar resta rilevante per gli utenti che detengono G$ mentre le operazioni sulle riserve e le condizioni di liquidità sono compromesse.

Questo articolo ha finalità esclusivamente informative e non costituisce consulenza finanziaria o di investimento. I mercati delle criptovalute e degli asset digitali comportano rischi significativi.