Een aanvaller heeft via een bug in het Superfluid-protocol meer dan $100.000 uit de reserves van GoodDollar gehaald. Daarbij werden de fondsen van het project op de Celo-blockchain getroffen. GoodDollar beheert een programma voor een universeel basisinkomen dat bijna één miljoen mensen dagelijks een kleine hoeveelheid van zijn G$-token uitkeert. De getroffen reserve ondersteunt dit token.

Volgens het rapport van CryptoSlate, dat verwees naar een update van GoodDollar van 9 september, was de gemelde uitstroom uit de reserves verdeeld over Celo en het XDC-netwerk. De bedragen zijn niet onafhankelijk on-chain bevestigd en GoodDollar zei dat geen van beide reserves volledig was leeggehaald.

Gemelde uitstroom uit de reserves

Volgens het rapport wisselde een aanvaller 86.588 cUSD uit de GoodDollar-reserve op Celo. Een tweede uitstroom van $20.857 kwam uit de reserve van het project op het XDC-netwerk. De beschikbare informatie legt niet uit hoe de uitstroom op XDC verband hield met de kwetsbaarheid op Celo.

De gemelde bedragen samen bedragen meer dan $100.000. Het gaat om gemelde uitstromen en niet om een bevestigd definitief nettoverlies.

Leden van GoodDollar claimen elke dag een kleine hoeveelheid G$. Het project houdt reserves aan om het token te ondersteunen, en deze reserves waren de bron van de fondsen die door het incident werden getroffen.

Superfluid-bug trof Celo-implementatie

Het incident werd in verband gebracht met Superfluid, een protocol dat “geldstromen” mogelijk maakt: betalingen die continu in de tijd verlopen. GoodDollar gebruikt Superfluid om zijn dagelijkse inkomen te verspreiden.

In een voorlopige bekendmaking die op 8 september werd gepubliceerd, zei de Security Council van Superfluid dat een kwaadaardige “Super App”—een geautomatiseerd programma dat met Superfluid is verbonden—het normale liquidatieproces van geldstromen op Celo omzeilde.

Daardoor bleven G$-saldi die geliquideerd hadden moeten worden beschikbaar. De aanvaller wisselde deze saldi vervolgens om tegen GoodDollar-reserveactiva en andere liquiditeitspools op Celo, aldus de council.

De Security Council zei dat de kwetsbaarheid afhankelijk was van de specifieke Celo-configuratie van Superfluid. Andere netwerken waarop Superfluid draait, werden niet getroffen door deze specifieke fout. GoodDollar schreef het incident op Celo eveneens toe aan de bug in Superfluid.

GoodDollar schreef op X:

Update: The incident affecting GoodDollar on Celo was due to a bug in the Superfluid protocol that allowed a malicious Super App to bypass Superfluid’s normal stream liquidation process. As a result, G$ balances that should have been liquidated remained available, leaving more… — GoodDollar 💙🌏 (@gooddollarorg) September 9, 2026

Het bericht is beschikbaar via het X-account van GoodDollar.

Tijdlijn van de respons

De Security Council zei dat een infrastructuurwaarschuwing op 3 september om 19.11 uur UTC voor het eerst insolvente Celo-accounts identificeerde.

Superfluid implementeerde op 4 september om 14.00 uur UTC een hotfix voor Celo en herstelde de whitelisting van Super Apps. Alle insolvente accounts werden een uur later gesloten, om 15.00 uur UTC.

De council beoordeelde ook de registratieprocessen voor Super Apps op alle netwerken om inactieve of ongebruikte whitelisted deployers ongeldig te maken, volgens council-lid hellwolf. Deze bredere beoordeling betekent niet dat andere netwerken aan de Celo-specifieke kwetsbaarheid waren blootgesteld.

De council zei dat het exploitpad na de fix niet langer kon worden gereproduceerd.

Herstel en resterende onzekerheden

De gemelde uitstromen geven geen definitieve financiële impact van het incident aan. GoodDollar heeft niet bekendgemaakt hoeveel er na de herstelmaatregelen eventueel kan worden teruggewonnen. Ook externe G$-liquiditeitspools werden getroffen, maar de verliezen uit deze pools zijn niet bekendgemaakt.

GoodDollar zei dat het claimen op Celo, G$-transfers en identiteitsverificatie waren hervat, volgens CryptoSlate. De reserveactiviteiten op zowel Celo als XDC en het bridgen waren op 10 september echter nog opgeschort.

Het project adviseerde gebruikers ook om voorlopig geen G$ te swappen. Volgens GoodDollar kan beperkte liquiditeit leiden tot aanzienlijke slippage en abnormale prijzen, waardoor transacties tegen onverwacht ongunstige koersen kunnen worden uitgevoerd.

Verschillende aspecten van het incident zijn nog niet opgehelderd. Het verband tussen de Celo-specifieke Superfluid-bug en de uitstroom op XDC is niet uitgelegd. De bekendmaking van Superfluid van 8 september was voorlopig en de council zei dat een volledig technisch rapport zou volgen. De omvang van de blootstelling van de reserves, de gevolgen voor gebruikers en het uiteindelijke herstelbedrag blijven daarom niet geverifieerd.

De gemelde feiten beschrijven de huidige status van het incident, maar stellen geen definitief nettoverlies of de uitkomst van het herstelproces vast. De waarschuwing van GoodDollar blijft relevant voor gebruikers die G$ bezitten zolang reserveactiviteiten en liquiditeitsomstandigheden verstoord zijn.

Dit artikel is uitsluitend bedoeld ter informatie en vormt geen financieel advies of beleggingsadvies. Markten voor cryptovaluta en digitale activa brengen aanzienlijke risico’s met zich mee.