USM ha subito una perdita di circa 70.83 ETH a causa di una grave vulnerabilità nella logica di pricing della sua funzione di defund, un problema segnalato per primo al pubblico dalla società di sicurezza blockchain @SlowMist_Team su X (Twitter). L’incidente ha riacceso le preoccupazioni sulla sicurezza degli smart contract in tutto l’ecosistema della finanza decentralizzata, dove gli exploit basati su operazioni aritmetiche restano tra le classi di vulnerabilità più comuni e costose.

Dettagli tecnici della vulnerabilità

Il difetto si trova nella funzione ethFromDefund() di USM. Secondo l’analisi, la logica di pricing si basa su calcoli di media aritmetica che non possiedono una proprietà nota come 'split invariance'. Di conseguenza, l’esecuzione di più piccole richieste di rimborso invece di una singola richiesta più grande produce margini di profitto inattesi e sfruttabili, prosciugando infine i fondi del contratto.

Lo split invariance è una proprietà matematica che garantisce che l’output di una funzione rimanga coerente indipendentemente dal fatto che un’operazione venga eseguita in un solo passaggio o suddivisa in più passaggi più piccoli. La sua assenza nel meccanismo di defund di USM ha permesso a un attaccante di estrarre valore suddividendo i rimborsi in numerose transazioni di importo minore. Questa classe di vulnerabilità — in cui la relazione tra la dimensione dell’input e il valore dell’output è non lineare o calcolata in modo errato — è stata documentata in diversi incidenti DeFi negli ultimi anni, inclusi exploit che hanno coinvolto market maker automatizzati e meccanismi di rimborso di stablecoin, nei quali gli attaccanti traggono profitto dalle discrepanze tra operazioni grandi e operazioni piccole aggregate.

Fatti principali

• Importo della perdita: Circa 70.83 ETH
• Causa principale: Difetto nella logica di pricing nella funzione ethFromDefund()
• Problema tecnico: Calcoli della media aritmetica privi di split invariance
• Metodo di sfruttamento: Molte piccole richieste di rimborso che generano margini di profitto inattesi
• Reso pubblico da: @SlowMist_Team
• Rete: Ethereum blockchain

Contesto e implicazioni

USM opera come protocollo di finanza decentralizzata sulla Ethereum blockchain, offrendo servizi tramite smart contract. L’integrità operativa del protocollo è regolata dal quadro decentralizzato di Ethereum, che attribuisce ai sviluppatori una responsabilità significativa nell’implementare pratiche di coding robuste e audit di sicurezza approfonditi. La perdita di 70.83 ETH — valutata a circa $250,000 in base ai prezzi correnti di ETH — si aggiunge al totale cumulato dei fondi persi a causa degli exploit DeFi, che negli ultimi anni hanno raggiunto centinaia di milioni di dollari all’anno.

Al momento della pubblicazione, i dati sul volume di trading per USM non erano disponibili. Il mercato delle criptovalute nel suo complesso sta mostrando segnali contrastanti, con dinamiche diverse tra i principali asset digitali.

Reazioni della community

Stakeholder e membri della community stanno monitorando da vicino USM per eventuali aggiornamenti su come il protocollo intenda affrontare la vulnerabilità. L’incidente ha riacceso la discussione sull’importanza di test rigorosi, verifica formale e audit di terze parti nello sviluppo di smart contract DeFi. La verifica formale — dimostrare matematicamente che il codice soddisfa proprietà specifiche come lo split invariance — resta poco utilizzata nel settore, nonostante il suo potenziale nel rilevare esattamente il tipo di difetto che ha colpito USM.

L’evento evidenzia una sfida persistente nella finanza decentralizzata: anche protocolli con meccaniche relativamente semplici possono nascondere sottili difetti matematici che, una volta scoperti e sfruttati, causano perdite finanziarie significative. Resta aperta la domanda se USM implementerà aggiornamenti del contratto, compensazioni per gli utenti o una revisione della logica di pricing.

Questo articolo ha scopo puramente informativo e non costituisce consulenza finanziaria.