Swell, il protocollo di liquid staking su Ethereum, ha sospeso depositi e prelievi per i suoi token swETH e rswETH dopo che i contratti hanno iniziato a riportare tassi di cambio ben oltre i livelli normali. La sospensione è stata annunciata nelle prime ore di venerdì 23 ottobre e entrambe le funzioni restano chiuse mentre il team lavora per correggere i tassi.

Il liquid staking consente agli utenti di mettere in stake ETH ricevendo in cambio un token negoziabile, e swETH e rswETH sono rispettivamente i token di liquid staking e liquid restaking di Swell. Ciascuno ha un tasso di cambio che cresce man mano che maturano le ricompense di staking, e tale tasso determina quanta ETH entra o esce dai contratti quando gli utenti depositano o prelevano.

Il tasso riportato dal contratto swETH è salito a circa il 6% sopra l'ultima lettura corretta, mentre rswETH si trovava circa il 5% sopra il livello normale. Swell ha dichiarato che nessun ETH è uscito dai contratti interessati, ma non ha confermato la causa né indicato quando depositi e prelievi riprenderanno.

I tassi di cambio salgono oltre i livelli normali

Swell ha annunciato la sospensione alle 2:39 (ora ET) di venerdì e ha detto che il passo successivo è riportare il valore patrimoniale netto (NAV) di entrambi i token al livello corretto. Depositi e prelievi resteranno chiusi fino ad allora. I tassi per token di questo tipo normalmente aumentano solo lentamente con la maturazione delle ricompense di staking, ed è per questo che letture di diversi punti percentuali sopra gli ultimi valori corretti sono risultate anomale.

Alle 16:48 (ora ET), una lettura dei contratti da parte di Unchained mostrava swETH a circa 1,203 ETH e rswETH vicino a 1,138 ETH. L'analista on-chain Spreek aveva individuato gli ultimi tassi corretti rispettivamente in 1,133 ETH e 1,082 ETH.

sugli exchange decentralizzati, swETH era scambiato vicino a 1,089 WETH in un pool Uniswap con circa 143.000 dollari di liquidità, mentre rswETH cambiava mano vicino a 1,029 WETH su Curve. Entrambi i prezzi di mercato si trovano al di sotto dei tassi riportati dai contratti.

Secondo DefiLlama, swETH detiene circa 29 milioni di dollari di valore totale, e anche il token rswETH ne detiene una quantità simile. Poiché entrambi i token sono inoltre scambiati e circolano sui mercati esterni, l'esposizione va oltre i contratti del protocollo stesso. Finora Swell non ha fornito indicazioni sul trading o sulla fornitura di liquidità per nessuno dei due asset.

Sospetto compromissione delle chiavi amministrative, causa non confermata

Spreek ha pubblicato mercoledì 21 ottobre che le chiavi amminative di entrambi i token sembravano compromesse. Le chiavi amministrative determinano chi può aggiornare gli smart contract di un protocollo, mentre un multisig richiede l'approvazione di più firmatari autorizzati prima che qualsiasi transazione venga eseguita. Ha scritto che all'epoca il NAV stava aumentando di "max 1% (senza copertura) all'ora". Ha inoltre identificato quattro contratti di upgrade dannosi in grado di sottrarre circa 2.500 ETH, anche se nessuno era stato messo in coda tramite il multisig di Swell.

Odysseus, fondatore di Phylax Systems, ha definito l'incidente un "abuso di BOT-key" e ha aggiunto che i 2.513 ETH detenuti "NON rappresentano una perdita confermata". I suoi commenti sono arrivati poco dopo il primo avviso di Spreek.

Swell ha risposto alle 23:03 (ora ET) di stare lavorando con partner di sicurezza. Il team ha dichiarato che "nessun ETH è uscito" dai contratti di deposito o prelievo di swETH o rswETH, e ha poi scritto: "Tutti i fondi sono al sicuro". Ha inoltre avvertito che eventi di questo tipo tendono a portare a più tentativi di phishing.

Possibile collegamento con Railway

Entrambi i ricercatori hanno sollevato un possibile collegamento con Railway, una piattaforma di deployment cloud che gli sviluppatori usano per creare e ospitare applicazioni. Railway ha dichiarato in una divulgazione del 21 ottobre che un "terzo non autorizzato" potrebbe aver letto alcune delle sue variabili d'ambiente crittografate, un luogo comune dove le piattaforme conservano credenziali sensibili come le chiavi API. La divulgazione non menziona Swell, e Swell non ha confermato alcun collegamento tra i due eventi.

Il report di Spreek, che ha dichiarato essere stato scritto con l'IA e non del tutto verificato, ha rilevato che Aave, Spark e Fluid non accettavano nessuno dei due token. Un mercato Morpho aveva circa 34 ETH disponibili per il prestito.

Al momento degli ultimi aggiornamenti, le funzioni di deposito e prelievo restano sospese, e Swell non ha fornito una tempistica per il ripristino delle operazioni normali. Le questioni aperte sono quelle sollevate dal primo avviso di Spreek: se il sospetto compromissimento delle chiavi amministrative verrà confermato, se i quattro contratti di upgrade segnalati raggiungeranno mai il multisig di Swell e se i tassi riportati potranno essere corretti alle ultime letture corrette — 1,133 ETH per swETH e 1,082 ETH per rswETH — prima della riapertura di depositi e prelievi.