Il ricercatore di sicurezza Spreek ha riferito il 22 ottobre che un attore in possesso delle hot keys operative della Swell DAO aveva innalzato i tassi di cambio dei suoi token di liquid staking swETH e rswETH al limite orario dell'1%, senza nuovo ETH a supporto degli aumenti.

I tassi di cambio dei token di liquid staking aumentano normalmente solo al crescere delle ricompense di staking, quindi un aumento privo di nuovo ETH a supporto spinge il tasso dichiarato oltre quanto le disponibilità del protocollo giustifichino. I risultati sono emersi poche ore dopo che la piattaforma cloud Railway ha divulgato che un intruso potrebbe aver avuto accesso ai segreti memorizzati dai clienti.

Registrati cinque aumenti di tasso di circa l'1% tra i due token

Spreek ha condiviso i risultati su X alle 01:28 UTC, scrivendo che le chiavi di amministratore di entrambi i token "sembrano compromesse (railway related?)". Secondo il post, gli aggressori stavano "raising NAV by max 1% (unbacked) each hour".

Il fondatore di Phylax Systems Odysseus ha descritto l'attività come "BOT-key abuse", contando tre aumenti di tasso per swETH e due per rswETH di circa l'1% ciascuno. Il codice oracle pubblicato da Swell limita l'invio degli snapshot di repricing al solo ruolo BOT. Quel bot opera su hot keys, che restano online e firmano transazioni senza intervento umano — un assetto che affida l'accuratezza del tasso on-chain a un singolo set di credenziali sempre online. Limiti di tasso di questo tipo restringono di quanto un oracle possa spostare il prezzo in un singolo aggiornamento; in questo caso hanno definito il ritmo degli aumenti non autorizzati.

I registri di Ethereum mostrano un singolo indirizzo che invia snapshot di swETH alle 23:02 UTC del 21 ottobre, seguito da ulteriori invii alle 00:04 e 01:08 UTC del 22 ottobre. Le cifre riportate al 22 ottobre collocano swETH circa il 3,0% sopra 1,133254 ETH, mentre rswETH era salito di circa il 2,0% da 1,082464 ETH.

Railway [ha dichiarato il 21 ottobre]( di aver osservato attività anomala nei sistemi che archiviano le variabili d'ambiente dei clienti — un luogo standard in cui le applicazioni conservano le credenziali di runtime — e che una parte esterna potrebbe aver avuto accesso ai contenuti decrittati di alcuni di essi. Tra i segreti memorizzati figurano chiavi API e credenziali di registry. La piattaforma ha bloccato tutti i deployment e ha esortato gli utenti a ruotare i segreti memorizzati.

Lo stesso giorno, l'investigatore crypto Tay ha riferito che un aggressore aveva drenato circa 371.000 dollari da wallet su almeno 19 catene EVM utilizzando chiavi archiviate su Railway. Nessun collegamento tra il data breach di Railway e l'incidente di Swell è stato confermato.

Quattro contratti di upgrade malevoli potrebbero sotre circa 2.500 ETH

Swell ha dichiarato su X alle 03:03 UTC del 22 ottobre di essere a conoscenza dei rapporti su "suspicious activity on the swETH and rswETH contracts" e di stare indagando insieme ai propri partner di sicurezza. "No ETH has left the swETH or rswETH withdrawal or deposit contracts", ha scritto il team, aggiungendo che nessuna azione era richiesta agli utenti.

Il 23 ottobre, Swell ha sospeso depositi e prelievi per swETH e rswETH, dichiarando che le funzioni sarebbero state ripristinate una volta che il NAV fosse tornato al valore corretto. Il tasso di cambio determina quanto ETH ciascun token converte in deposito e prelievo, ed è per questo che la riapertura di tali funzioni dipende dalla cifra corretta.

Spreek ha inoltre riferito che erano stati distribuiti quattro contratti di upgrade malevoli, in grado di sottrarre circa 2.500 ETH se eseguiti. Odysseus ha stimato che Swell stesse detenendo 2.513 ETH, precisando che l'importo "is NOT confirmed loss". Al momento dei rapporti nessuno degli upgrade era stato eseguito, lasciando il loro status, la correzione del NAV e un eventuale collegamento confermato all'incidente di Railway come i punti chiave da monitorare.

Alcuni dettagli della ricerca sarebbero stati raccolti con l'assistenza dell'IA e restano non verificati.

I tassi gonfiati comportano un rischio di contagio per i mercati di lending

Solo una frazione dei tassi elevati sarebbe riflessa nei prezzi DEX. I prodotti di liquid staking e liquid restaking di Swell detenevano ciascuno circa 29 milioni di dollari di valore totale bloccato il 23 ottobre, mentre le fonti di dati indicano una capitalizzazione di mercato per rswETH tra 27 e 58 milioni di dollari.

In un mercato di lending che prezza swETH o rswETH in base al tasso on-chain, la cifra gonfiata conterebbe come collateral. Cryptopolitan ha precedentemente tracciato un simile percorso di contagio quando l'exploit di rsETH di KelpDAO si è propagato ai mercati di lending di Layer 2. Anche l'incidente dell'estensione Fearless Wallet è stato causato da chiavifiltrate, in cui le chiavi private degli utenti Polkadot furono inviate al server di un aggressore.