WEMIX ha sospeso i bridge e i servizi di trading decentralizzati dopo che un aggressore ha ottenuto il controllo proprietario di un contratto collegato alla sua stablecoin WEMIX$ e ha coniato 5.225.525 token senza autorizzazione.

Le transazioni anomale sono iniziate alle 09:17 UTC del 26 luglio, secondo l’aggiornamento di WEMIX sul problema di sicurezza e sulle misure di risposta (). L’aggressore ha convertito l’emissione WEMIX$ non coperta in 30.736 WEMIX e 724.198,27 USDC.e, quindi ha spostato gli USDC.e tramite bridge verso Ethereum e BNB Smart Chain. I fondi sono stati successivamente scambiati in ETH e USDT, distribuiti su più indirizzi e in parte depositati su exchange centralizzati.

La cifra di 5,23 milioni di dollari rappresenta il valore nominale del mint non autorizzato della stablecoin al prezzo in dollari previsto per WEMIX$. Le conversioni confermate hanno prodotto un ammontare di asset liquidi significativamente inferiore prima che WEMIX bloccasse l’infrastruttura interessata, evidenziando perché i permessi di conio delle stablecoin e le rotte dei bridge siano considerati punti di controllo ad alto rischio nella risposta agli incidenti DeFi.

WEMIX aveva già iniziato a sostituire WEMIX$ con USDC.e nei suoi servizi gaming e DeFi. Durante una transizione ad aprile, il progetto ha ritirato la liquidità fornita dalla fondazione e ha terminato il supporto per diversi pool WEMIX$, secondo il precedente avviso sulla cessazione del supporto a WEMIX$ e sulla transizione a USDC.e ().

Bridge e pool di liquidità sospesi

Tutti i bridge collegati a WEMIX3.0 sono stati temporaneamente sospesi, inclusi Chainlink CCIP e PLAY Bridge. Anche il trading è stato interrotto nei pool di liquidità interessati, la liquidità fornita dalla fondazione è stata ritirata e servizi come il WEMIX$ Module e l’exchange decentralizzato PNIX sono stati messi in pausa.

L’investigatore on-chain Specter ha segnalato un indirizzo che inizia con 0xc921a66e durante il primo tracciamento pubblico delle transazioni su X: https://x.com/SpecterAnalyst/status/2081336820642484659. WEMIX ha poi identificato ulteriori wallet e ha richiesto congelamenti a exchange centralizzati ed emittenti di stablecoin. Alcuni indirizzi erano già stati sottoposti a restrizioni mentre proseguivano gli sforzi di recupero.

Il metodo esatto utilizzato per ottenere la proprietà del contratto resta sotto indagine. WEMIX ha dichiarato di aver coinvolto specialisti esterni di sicurezza e di aver esteso la revisione a contratti correlati con controlli amministrativi simili. La revisione di controlli analoghi è importante perché i permessi a livello di proprietario possono incidere sull’emissione di token, sulla gestione della liquidità o sulle funzioni di emergenza, a seconda di come sono progettati i singoli contratti.

Seconda grande violazione di WEMIX in 17 mesi

La presa di controllo del contratto segue l’exploit del PLAY Bridge del febbraio 2025, in cui credenziali di autenticazione rubate hanno consentito il prelievo di 8.654.860 WEMIX, allora del valore di circa 6,1 milioni di dollari, da un vault del bridge.

L’incidente WEMIX è arrivato anche dopo un drenaggio multichain da oltre 9,7 milioni di dollari da wallet collegati a Triple-A, in cui gli asset sono stati spostati da TRON, Ethereum, Polygon e Arbitrum prima di essere consolidati in 5.227 ETH. Un’importazione malevola tramite bridge ha inoltre rilasciato separatamente 7,54 milioni di dollari dal Verus Ethereum Bridge, mentre una precedente falla nelle firme ha permesso a 515 milioni di NIGHT di uscire dalla treasury del bridge Cardano di Wanchain. Nel complesso, gli incidenti riflettono un focus di sicurezza ricorrente sulle infrastrutture cross-chain, dove credenziali rubate, verifiche difettose o accessi amministrativi compromessi possono trasformare un singolo guasto di sistema in movimenti su più reti.

I bridge WEMIX3.0, i pool di liquidità interessati, il WEMIX$ Module e PNIX sono rimasti sospesi mentre venivano esaminati la compromissione della proprietà e i movimenti finali degli asset.