Injective, un protocollo blockchain Layer 1 specializzato in finanza decentralizzata, è stata colpita il 31 agosto da un exploit che ha sottratto circa 4,9 milioni di dollari tramite una vulnerabilità critica nel suo sistema di regolamento delle opzioni binarie. I mercati di opzioni binarie—dove i trader scommettono su risultati di prezzo sì/no a una scadenza fissata—sono tra i derivati strutturalmente più complessi che un modulo di exchange permissionless possa offrire, poiché la correttezza del regolamento dipende dall'interazione senza casi limite tra consegna dell'oracle, logica di rimborso e contabilità del fondo di assicurazione.

L'attaccante ha sistematicamente abusato di un meccanismo permissionless di creazione di mercati per lanciare 299 mercati istantanei di opzioni binarie in un periodo di 19 ore, ciascuno gestito tramite un oracle autogestito configurato deliberatamente per non fornire mai prezzi. I simboli dell'oracle erano costruiti esplicitamente per attivare il percorso di rimborso senza prezzo, con timestamp di scadenza e regolamento distanti solo pochi secondi.

A binary-options settlement bug has been exploited on @Injective according to @ErthlingPaddy. Attacker bridged ~$4.9M to Ethereum, the funds are unmoved. pic.twitter.com/fwnx6cQajJ — Defimon Alerts (@DefimonAlerts) September 1, 2026

Le analisi on-chain mostrano che l'exploit si basava su scambi auto-abbinati tra i subaccount dell'attaccante. L'attore ha depositato collateral, assunto sia posizioni long che short a prezzi manipolati e sfruttato il meccanismo di rimborso per estrarre circa il doppio dell'importo depositato per ciclo. In una sequenza documentata, circa 105.000 USDC hanno generato prelievi superiori a 204.000 USDC. I proventi sono stati successivamente trasferiti su Ethereum tramite CCTP, scambiati in ETH su Uniswap e consolidati nell'indirizzo 0x5a18…69ea, dove circa 1.980 ETH—circa 4,88 milioni di dollari—risultavano immobili alla stesura dell'articolo.

La chain di Injective si è fermata per circa tre ore e 42 minuti, dal blocco 181.027.006 alle 16:10 UTC al blocco 181.027.007 alle 19:52 UTC. Le halt della chain—ottenute quando i validatori coordinano la sospensione della produzione di blocchi—sono uno dei pochi strumenti di emergenza disponibili per le reti basate su Cosmos SDK di fronte a un exploit in corso, ma comportano propri compromessi, come illustra la divergenza tra la risposta di Injective e quella di Cronos. A differenza di Cronos, che ha eseguito il rollback delle transazioni dopo un recente incidente, Injective è avanzata di esattamente un blocco oltre la halt, preservando tutte le negoziazioni eseguite. L'ultimo tentativo di exploit è fallito solo perché il suo timestamp di regolamento è scaduto in mezzo a una produzione di blocchi drasticamente rallentata, scesa a intervalli di circa 38 minuti immediatamente prima dell'intervento dei validatori.

Injective halted for ~4 hours today after a binary-options exploit drained multiple assets. In that window, the official @injective account posted twice — both marketing. "ICYMI our AI Agent SDK is live." "Bridge your ETH to Injective." Zero mention of the halt. No "funds are… — Paddy-earthling (@ErthlingPaddy) August 31, 2026

Difetto tecnico e critiche sulla trasparenza

La causa principale risale a una collisione di identificatori di mercato nella logica centrale di Injective. Il protocollo genera il market_id concatenando oracleType, ticker, quoteDenom, oracleSymbol e oracleProvider senza separatori né prefissi di lunghezza. Questo schema di hashing ha permesso all'attaccante di creare un fondo di assicurazione denominato in INJ che collideva con l'identificatore di un mercato di opzioni binarie denominato in USDC. Collisioni di identificatori di questo tipo sono una classe di bug ben nota nei sistemi che costruiscono chiavi da campi concatenati non strutturati, motivo per cui molti protocolli adottano identificatori con prefisso di lunghezza o separati per namespace.

Quando il regolamento è entrato nel percorso di rimborso senza prezzo, il sistema ha tentato di coprire il deficit USDC fabbricato usando il saldo intero grezzo del fondo INJ collegato. Poiché il codice trattava saldi minimi di INJ come copertura sufficiente per la carenza denominata in dollari, ha aggirato l'haircut richiesto tra le posizioni rimanenti e ha permesso prelievi completi di saldi artificialmente gonfiati.

L'incidente ha rinnovato le critiche alla decisione di Injective di rimuovere i repository della propria chain core da GitHub, una mossa in precedenza giustificata come riduzione della superficie di attacco. I critici sostengono che l'exploit dimostri i limiti fondamentali della sicurezza tramite oscuramento: l'attaccante si è basato esclusivamente sulla documentazione pubblica dell'SDK, sui binari compilati legacy fino alla versione 1.17.2 e sul testnet live Frontrunner per reverse-engineerizzare empiricamente la vulnerabilità. Nel frattempo, auditor indipendenti e ricercatori whitehat sono stati negati dell'accesso a livello di codice sorgente necessario per identificare proattivamente il difetto. L'episodio si aggiunge a un dibattito ricorrente del settore sul codice closed-source delle chain, riecheggiando dispute precedenti sull'opportunità di trattenere il codice sorgente per scoraggiare materialmente gli attaccanti determinati o ostacolare principalmente la revisione indipendente.

Injective made its core chain code private — injective-core and injective-chain are both gone from GitHub (check for yourself: 404). The stated logic: harder for attackers to find bugs. This exploit is the counterargument. You don't need the source to find this. The attack… — Paddy-earthling (@ErthlingPaddy) August 31, 2026

I fallimenti nella comunicazione hanno aggravato la violazione tecnica. Durante l'intera halt, i canali social ufficiali di Injective hanno pubblicato contenuti di marketing per promuovere nuovi prodotti, senza riconoscere l'incidente né rassicurare gli utenti. Questo approccio ha contrastato nettamente con protocolli come MANTRA e Cronos, che hanno pubblicamente divulgato recenti interruzioni.

Un messaggio on-chain che offriva una bounty è stato inviato all'attaccante da uno smart wallet non verificato, anche se Injective non ha confermato un coinvolgimento ufficiale e l'identità del mittente resta ambigua. Alla stesura dell'articolo, il protocollo non aveva rilasciato alcuna dichiarazione pubblica riguardo all'exploit, al suo impatto sugli utenti o alle misure di rimedio pianificate. Le principali questioni aperte per gli osservatori includono se gli ETH consolidati presso 0x5a18…69ea si muovano, se seguirà una bounty ufficiale o una negoziazione e se Injective rivelerà una patch o ripristinerà l'accesso pubblico al codice sorgente in risposta all'incidente.