La società di sicurezza blockchain SlowMist ha segnalato una perdita di circa 5,08 ETH su Set Protocol, attribuendo l'incidente a un problema di calcolo all'interno della funzione actualizeFee() del protocollo. L'avviso evidenzia come un meccanismo di accumulo delle commissioni, se calcolato in modo errato, possa causare l'uscita di fondi da un protocollo senza alcuna corrispondente azione dell'utente.

SlowMist identifica una perdita di circa 5,08 ETH su Set Protocol

SlowMist, una società di sicurezza che monitora regolarmente l'attività on-chain dei protocolli basati su Ethereum, ha segnalato pubblicamente l'incidente. La perdita riportata ammonta a circa 5,08 ETH e la società l'ha ricondotta a un problema nella funzione actualizeFee() all'interno della logica degli smart contract di Set Protocol.

Set Protocol è un'infrastruttura basata su Ethereum che consente la creazione e la gestione di panieri di asset tokenizzati, comunemente utilizzati in prodotti DeFi strutturati. Le funzioni di accumulo delle commissioni come actualizeFee() vengono richiamate periodicamente per distribuire le commissioni di gestione o di flusso agli operatori del protocollo, il che rende la loro corretta esecuzione determinante per i saldi degli utenti.

La cifra riportata di 5,08 ETH rappresenta l'impatto principale identificato tramite il monitoraggio di SlowMist. Sulla base delle informazioni disponibili, l'avviso della società non ama che si siano verificate perdite aggiuntive oltre all'importo segnalato, e la copertura dell'incidente si è limitata all'avviso stesso.

Incidenti di questo tipo si inseriscono in un quadro più ampio di perdite legate alla DeFi: le frodi nel settore crypto e i guasti dei protocolli hanno causato perdite per 4,6 miliardi di dollari nel 2024.

Cosa significa il problema di calcolo in actualizeFee()

La funzione actualizeFee() è responsabile dell'aggiornamento dello stato contabile interno quando le commissioni vengono riscosse. Un errore di calcolo in questa funzione può creare una discrepanza tra l'importo registrato internamente e l'importo effettivamente trasferito, consentendo l'uscita di valore dal contratto in eccesso rispetto a quanto previsto.

SlowMist ha collegato direttamente la perdita di circa 5,08 ETH a questo problema di calcolo, e non a un exploit esterno o a un guasto dei controlli di accesso. Questa distinzione è significativa: un bug di calcolo è un errore di logica all'interno del contratto stesso, non necessariamente un attacco mirato. Non è stato confermato, nelle informazioni disponibili al momento della redazione di questo articolo, se Set Protocol abbia preso atto del rilievo o pubblicato una patch.

SlowMist ha segnalato vulnerabilità simili a livello di funzione in altri protocolli DeFi su Ethereum. In un incidente separato, la società ha dato l'allerta su un exploit del modulo Aave v3 Loop Safe Module che ha causato una perdita di 114,09 ETH, a illustrazione della gamma di impatto che tali avvisi possono coprire.

Perché l'avviso su Set Protocol è rilevante per utenti e mercato

Le funzioni di calcolo delle commissioni sono tra le operazioni più routine nei vault DeFi e nei protocolli di panieri di asset, eseguendosi a ogni ciclo di accumulo delle commissioni. Un errore in questa logica è significativo perché può accumularsi silenziosamente attraverso più chiamate prima di essere rilevato, il che significa che l'esposizione totale potrebbe crescere se il problema non viene affrontato tempestivamente.

Per gli utenti che detengono posizioni nei prodotti di Set Protocol, la segnalazione pubblica di SlowMist rappresenta un invito a monitorare le comunicazioni ufficiali del protocollo in attesa di un annuncio di correzione. Sebbene l'impatto, espresso in ETH, sia contenuto rispetto ad attacchi informatici più gravi ai protocolli, sottolinea che la logica delle commissioni merita lo stesso livello di scrutinio in fase di audit delle funzioni principali di trasferimento e liquidità. Utenti e osservatori dovrebbero seguire gli aggiornamenti verificati di Set Protocol anziché agire sulla sola base dell'avviso.

L'incidente rafforza inoltre il valore del monitoraggio della sicurezza on-chain come prima linea di rilevamento. Società come SlowMist analizzano le interazioni anomale con i contratti e portano alla luce i problemi prima che vengano formalmente divulgati, offrendo alla comunità un'allerta precoce. I team di sviluppo che operano su Ethereum dovrebbero trattare i casi limite dell'accumulo delle commissioni come priorità di alto livello negli audit degli smart contract, in particolare dove le commissioni di flusso si accumulano nel tempo e interagiscono con la logica di rebasing o ribilanciamento.

Disclaimer: Questo articolo ha finalità esclusivamente informative e non costituisce consulenza finanziaria o di investimento. I mercati delle criptovalute e degli asset digitali comportano rischi significativi. Effettuare sempre proprie ricerche prima di prendere decisioni.