Il bridge cross-chain di Ankr su Ethereum è stato svuotato nella mattina di lunedì 9 novembre 2026. Tra le 9:09 e le 9:12 ora italiana cinque prelievi non autorizzati hanno spostato token liquid staking e ANKR verso un nuovo wallet. Le stime delle società di sicurezza Blockaid e SlowMist, confrontate con i prezzi di Etherscan, convergono intorno ai 303-304 mila dollari per i soli asset quotati. Al momento della scrittura Ankr non ha pubblicato alcuna dichiarazione ufficiale sul proprio account X né sul blog aziendale.
Cinque ricevute falsificate su un deposito Optimism già usato
Secondo l’analisi di SlowMist, ripresa anche da The Crypto Times e da crypto.news, l’attaccante ha ripreso un deposito legittimo effettuato su Optimism il 3 novembre 2026: appena 0,0044024803 ankrETH, già riscattato lo stesso giorno sul bridge Ethereum. Da quella singola transazione di origine sono state costruite cinque ricevute cross-chain falsificate, ciascuna con destinatario, token e importo di prelievo diversi rispetto al deposito originale.
Tutte e cinque le ricevute presentavano firme valide del signer di consensus di cui il bridge si fida per autorizzare i messaggi tra catene. La funzione di withdraw del contratto ha rilasciato gli asset senza verificare in modo indipendente che gli eventi corrispondenti fossero ancora validi sulla catena di origine. SlowMist sottolinea che l’origine di quelle firme non autorizzate resta sotto indagine e che un’eventuale compromissione delle chiavi del signer non è stata confermata.
Blockaid aveva segnalato l’attacco alle 9:42 ora italiana come «ongoing exploit», con una stima iniziale di circa 292 mila dollari su cinque transazioni. Successivamente, dal valore dei token quotati sul wallet di destinazione, crypto.news e The Defiant hanno indicato circa 303.600 dollari; SlowMist ha fissato la perdita intorno ai 304.500 dollari. Le differenze dipendono dal momento della misurazione e dal perimetro dei token considerati.
Cosa è uscito dal contratto e cosa restava aperto
Dai record on-chain risultano prelevati circa 82,91 ankrETH (circa 216.370 dollari), 515.206 ankrPOL (circa 56.372 dollari) e circa 7,98 milioni di ANKR (circa 30.857 dollari). Sono usciti anche 5.372,25 aMATICb e 0,8196 aETHb, due token di staking più vecchi per i quali al momento della stima Etherscan non mostrava un prezzo affidabile: non entrano quindi nel totale dei 303 mila dollari circa.
Il contratto del bridge su Ethereum, all’indirizzo 0xc437DF90B37C1dB6657339E31BfE54627f0e7181, alle 9:49 ora italiana aveva ancora il flag pubblico di pausa impostato su false, secondo i controlli riportati dalle fonti. Non è chiaro se Ankr abbia poi bloccato i prelievi. Blockaid ha anche ricostruito che, tra circa le 3:08 e le 5:06 ora italiana, l’attaccante aveva svuotato più wallet operativi Ankr su Ethereum, Arbitrum e Linea, consolidando i fondi e finanziando da lì il relayer usato per i withdraw.
Al momento non risulta che l’incidente abbia toccato l’infrastruttura RPC di Ankr né i wallet personali degli utenti: le perdite descritte riguardano gli asset bloccati nel contratto del bridge Ethereum colpito. Resta aperta la domanda su come siano state ottenute le firme valide e su quale sia l’ampiezza reale della violazione operativa.
Nessuna comunicazione ufficiale di Ankr
Verificato lunedì 9 novembre nel pomeriggio ora italiana, l’account ufficiale @ankr su X non aveva pubblicato post sull’incidente e sul blog Ankr non comparivano annunci di contenimento, causa radice o piano di recupero. crypto.news riferisce di aver contattato l’azienda senza ricevere risposta entro la chiusura del pezzo. Per chi ha fondi legati a quel bridge resta quindi solo il monitoraggio dei canali ufficiali Ankr, oltre alle tracce già pubbliche su Etherscan e agli alert di Blockaid e SlowMist.
L’episodio si inserisce in una sequenza già nota di problemi su ponti cross-chain e su contratti Ankr: a fine agosto 2026 una falla sul contratto ankrFLOW aveva permesso la creazione di token non garantiti, con perdite stimate intorno ai 410 mila dollari su MORE Markets. Come negli attacchi recenti a LNbits e nell’esposizione delle chiavi Keplr via Web3Auth, anche qui il nodo critico è la fiducia posta su un meccanismo di autorizzazione che, una volta aggirato, libera valore già in custodia.
Fonti: Blockaid su X, SlowMist su X, crypto.news, The Crypto Times, The Defiant.
