Atakujący wypłacił z rezerw GoodDollar ponad 100 000 USD, wykorzystując błąd w protokole Superfluid, który wpłynął na środki projektu na blockchainie Celo. GoodDollar prowadzi program powszechnego dochodu podstawowego, w ramach którego niemal milion osób otrzymuje codziennie niewielką ilość tokena G$. Zaatakowana rezerwa służy do zabezpieczenia tego tokena.

Jak wynika z raportu CryptoSlate, który powoływał się na aktualizację GoodDollar z 9 września, zgłoszone uszczuplenie rezerw było podzielone między sieci Celo i XDC. Kwoty te nie zostały niezależnie potwierdzone w łańcuchu, a GoodDollar poinformował, że żadna z rezerw nie została całkowicie opróżniona.

Zgłoszone wypływy z rezerw

Według raportu atakujący wymienił 86 588 cUSD z rezerwy GoodDollar w sieci Celo. Drugi wypływ, w wysokości 20 857 USD, pochodził z rezerwy projektu w sieci XDC. Dostępne materiały nie wyjaśniają, w jaki sposób wypływ z XDC był powiązany z podatnością dotyczącą Celo.

Łącznie zgłoszone kwoty przekraczają 100 000 USD. Są to zgłoszone wypływy, a nie potwierdzona ostateczna strata netto.

Członkowie GoodDollar codziennie otrzymują niewielką ilość G$. Projekt utrzymuje rezerwy w celu zabezpieczenia tokena i to właśnie z tych rezerw pochodziły środki objęte incydentem.

Błąd Superfluid wpłynął na wdrożenie w sieci Celo

Incydent powiązano z Superfluid, protokołem umożliwiającym „strumienie pieniędzy”, czyli płatności przepływające w sposób ciągły w czasie. GoodDollar korzysta z Superfluid do dystrybucji codziennego dochodu.

W wstępnym komunikacie opublikowanym 8 września Rada Bezpieczeństwa Superfluid poinformowała, że złośliwa „Super App” — automatyczny program połączony z Superfluid — ominęła standardowy proces likwidacji strumieni w sieci Celo.

W rezultacie salda G$, które powinny zostać zlikwidowane, pozostały dostępne. Następnie atakujący wymienił te salda na aktywa rezerwowe GoodDollar i inne pule płynności w sieci Celo — podała rada.

Rada Bezpieczeństwa poinformowała, że podatność zależała od konkretnej konfiguracji Superfluid w sieci Celo. Inne sieci korzystające z Superfluid nie zostały dotknięte tą konkretną luką. GoodDollar również przypisał incydent w sieci Celo błędowi Superfluid.

GoodDollar napisał na X:

Update: The incident affecting GoodDollar on Celo was due to a bug in the Superfluid protocol that allowed a malicious Super App to bypass Superfluid’s normal stream liquidation process. As a result, G$ balances that should have been liquidated remained available, leaving more… — GoodDollar 💙🌏 (@gooddollarorg) September 9, 2026

Post jest dostępny na koncie GoodDollar w serwisie X.

Oś czasu reakcji

Rada Bezpieczeństwa poinformowała, że alert infrastruktury po raz pierwszy wykrył niewypłacalne konta Celo 3 września o 19:11 UTC.

4 września o 14:00 UTC Superfluid wdrożył poprawkę dla Celo i ponownie włączył whitelistę Super App. Wszystkie niewypłacalne konta zamknięto godzinę później, o 15:00 UTC.

Rada przeanalizowała również procesy rejestracji Super App we wszystkich sieciach, aby unieważnić nieaktywne lub niewykorzystywane, znajdujące się na whitelistach podmioty wdrażające — poinformował członek rady hellwolf. Szerszy przegląd nie oznacza, że inne sieci były narażone na podatność specyficzną dla Celo.

Rada poinformowała, że po wdrożeniu poprawki ścieżki exploitu nie można już było odtworzyć.

Odzyskiwanie środków i pozostałe niewiadome

Zgłoszone wypływy nie określają ostatecznego wpływu finansowego incydentu. GoodDollar nie ujawnił, jaka kwota — o ile jakakolwiek — może zostać odzyskana po działaniach naprawczych. Dotknięte zostały również zewnętrzne pule płynności G$, ale nie ujawniono strat z tych pul.

GoodDollar poinformował, że roszczenia w sieci Celo, transfery G$ i weryfikacja tożsamości zostały wznowione, jak podał CryptoSlate. Jednak operacje rezerwowe zarówno w sieciach Celo i XDC, jak i działanie mostów, pozostawały wstrzymane na 10 września.

Projekt zalecił również użytkownikom, aby tymczasowo nie wymieniali G$. Poinformował, że ograniczona płynność może prowadzić do znacznego poślizgu cenowego i nietypowych cen, przez co transakcje mogą zostać zrealizowane po nieoczekiwanie niekorzystnych kursach.

Kilka aspektów incydentu nadal pozostaje niewyjaśnionych. Nie wyjaśniono związku między specyficznym dla Celo błędem Superfluid a wypływem z XDC. Komunikat Superfluid z 8 września miał charakter wstępny, a rada poinformowała, że zostanie opublikowany pełny raport techniczny. Zakres narażenia rezerw, wpływ na użytkowników i ostateczna kwota odzyskanych środków pozostają zatem niezweryfikowane.

Zgłoszone fakty opisują bieżący stan incydentu, ale nie potwierdzają ostatecznej straty netto ani wyniku procesu odzyskiwania środków. Ostrzeżenie GoodDollar pozostaje istotne dla użytkowników posiadających G$ w czasie zakłóceń operacji rezerwowych i warunków płynności.

Ten artykuł ma charakter wyłącznie informacyjny i nie stanowi porady finansowej ani inwestycyjnej. Rynki kryptowalut i aktywów cyfrowych wiążą się ze znacznym ryzykiem.