BSquared Network [B2], een Bitcoin [BTC] Layer 2-protocol, is gehackt voor $3,89 miljoen in de nieuwste veiligheidsinbreuk die de DeFi-sector treft. Het incident vond plaats op dezelfde dag dat AFX Trade afzonderlijk werd geëxploiteerd voor meer dan $24,15 miljoen, wat de aanhoudende kwetsbaarheden in gedecentraliseerde financiën onderstreept ondanks verbeteringen die zijn doorgevoerd na de hack van Kelp DAO in april.

Voor DeFi-protocollen is controle over de bevoegdheden voor contractupgrades een kritieke beveigingslaag, omdat het bepaalt wie het contractgedrag na implementatie kan wijzigen. Dat maakt de status van bevoorrechte rollen, intrekkingen en evaluaties na een incident cruciaal voor het beoordelen van zowel de blootstelling van gebruikers als de kans op terugvordering van gelden.

Details van de exploit

Volgens het on-chain analyseplatform Lookonchain stal de aanvaller 8,59 miljoen B2-tokens ter waarde van $3,86 miljoen. De tokens werden verkocht voor 5.409 WBNB en 156 BNB, samen ongeveer $89,68K waard. Deze gelden werden vervolgens overgebracht naar het Ethereum [ETH]-netwerk en omgewisseld voor ETH en USDT.

De hacker routeert de gestolen activa momenteel naar ZCash [ZEC] via Near Intents en HOT Protocol. Ten tijde van de rapportage was 200 ETH — ter waarde van meer dan $387K — overgedragen naar de overbrugde wallet van Near Intents, een stap die doorgaans wordt geassocieerd met pogingen om geldsporen te verbergen en de kans op terugvordering te verkleinen. Cross-chain transacties kunnen onderzoeken bemoeilijken omdat activa tussen afzonderlijke netwerken en liquiditeitsplatformen bewegen, waardoor onderzoekers activiteit buiten de oorspronkelijke keten moeten volgen.

On-chain onderzoeker Specter suggereerde dat de exploit mogelijk een interne zaak was. Het betreffende adres zou sinds 2025 de benodigde toegangsrol hebben gehad, en deze machtigingen werden pas ingetrokken nadat de leegloop al had plaatsgevonden. Analyse van Specter op X.

Reactie van het team en compensatieplannen

Het BSquared-team schreef de inbreuk toe aan ongeautoriseerde toegang tot de upgradebevoegdheid van het smart contract. In een officiële verklaring op X kondigde het team aan:

Als voorzorgsmaatregel is $B2-staking tijdelijk opgeschort terwijl we aanvullende beveiligingsbeoordelingen uitvoeren.

Het opschorten van staking is een veelvoorkomende insluitingsmaatregel tijdens incidentrespons, omdat het verdere interactie van gebruikers met getroffen contracten kan beperken terwijl teams machtigingen, contractlogica en geldstromen herzien.

Het team presenteerde ook compensatieplannen voor getroffen gebruikers:

Alle getroffen gebruikers zullen volledig worden gecompenseerd.

Als reactie op de beschuldiging van een interne zaak stuurde het BSquared-team een on-chain bericht naar de hacker, zoals gerapporteerd door Specter (X-bericht). Het bericht bood clementie aan in ruil voor gedeeltelijke teruggave:

Als je binnen de komende 24 uur ten minste 10% van de gestolen gelden (ongeveer 386.000 USD) retourneert naar dit adres…zullen we geen juridische stappen ondernemen… De keuze is aan jou.

Markteffect

Na de kapitaalstroom van BNB Chain naar het Ethereum-netwerk dook de B2-token aanvankelijk meer dan 40%. De daling matigte daarna, waarbij de token op het moment van publicatie 17% lager noteerde op het ondersteuningsniveau van $0,4351.

De correlatie van de B2-token met BNB begon na de exploit licht te herstellen, hoewel de MACD-indicator suggereerde dat de bearish momentum nog steeds dominant was. Investeerders en gebruikers zullen waarschijnlijk in de gaten houden of het team verdere details verstrekt over de gecompromitteerde bevoegdheid, de omvang van getroffen accounts, de tijdlijn voor stakingbeoordelingen en eventuele terugvordering van gelden die via cross-chain kanalen zijn gerouteerd.