Un exploit b14g ha svuotato le posizioni di staking della piattaforma b14g, hub di dual staking per Bitcoin sulla blockchain Core: il 31 ottobre alle 09:29 UTC circa 97 milioni di token CORE, valutati da Bitquery circa 1,47 milioni di dollari, sono stati prelevati senza autorizzazione e trasferiti a indirizzi controllati dall’attaccante. La società ha messo in pausa i contratti coinvolti, mentre Core DAO assicura che la rete Core non è stata compromessa.
Come è avvenuto l’exploit b14g
Secondo l’analisi della società di analisi blockchain Bitquery, ripresa da CryptoSlate, l’attaccante ha svuotato 91 posizioni di staking con un’unica transazione, inviando 99 richieste di prelievo di valore zero. Il contratto di staking di Core interpreta una richiesta di prelievo pari a zero come l’istruzione di ritirare l’intero saldo: il contratto di b14g, invece di respingere richieste provenienti da un indirizzo che non aveva finanziato quelle posizioni, le avrebbe accettate e inoltrate.
Bitquery non ha trovato indizi di una chiave di amministrazione compromessa né di un contratto malevolo appena distribuito, e secondo CryptoSlate la logica sfruttata sarebbe rimasta in uso per circa 17 mesi. La stessa Bitquery precisa però di non aver esaminato il codice sorgente di b14g e di non poter indicare l’errore esatto: la causa tecnica ufficiale arriverà con il post-mortem promesso dalla piattaforma.
Fondi congelati e tracciamento
Nel suo aggiornamento di sicurezza b14g riferisce che circa 68 milioni di CORE si trovano ancora sulla blockchain Core e che i partner exchange hanno congelato circa 9 milioni di CORE collegati all’attaccante. Le tracce on-chain analizzate da Bitquery mostrano passaggi di parte dei fondi attraverso indirizzi intermedi legati a infrastrutture di exchange come Bybit, Gate.io e MEXC, anche se alcuni di questi wallet gestiscono asset di altri clienti e non tutti i trasferimenti possono essere attribuiti con certezza all’attaccante.
Gli asset colpiti sono solo i CORE messi in staking tramite b14g: i bitcoin bloccati attraverso la piattaforma restano vincolati con timelock sulla rete Bitcoin e, secondo l’azienda, non sono stati toccati. Al momento non è stato annunciato un piano di rimborso.
La posizione di Core DAO
Core DAO ha dichiarato che consenso, validatori e contratti di staking della rete hanno funzionato normalmente per tutta la durata dell’incidente e che i CORE in staking diretto con i validatori o tramite altri protocolli non sono coinvolti. La fondazione sta collaborando con b14g e con gli exchange per tracciare e congelare i fondi. Non è il primo caso recente in cui un servizio di staking finisce sotto i riflettori: di recente abbiamo raccontato anche l’incidente di sicurezza che ha coinvolto il validatore di Solflare.
Cosa fare se si usa b14g o servizi simili
Chi ha fondi su b14g dovrebbe seguire solo i canali ufficiali della piattaforma e attendere il post-mortem prima di nuovi depositi o restaking. Dopo ogni furto di criptovalute si moltiplicano i falsi servizi di “recupero fondi” e i messaggi privati che promettono rimborsi: nessun team legittimo chiede seed phrase, chiavi private o firme di transazioni sconosciute. Lo stesso schema si è visto dopo altri attacchi, come il furto da 400mila USDT su Predict.fun.
In generale conviene distribuire il rischio su più protocolli, revocare periodicamente le autorizzazioni concesse agli smart contract non più utilizzati e ricordare che i rendimenti aggiuntivi dei servizi di restaking aggiungono anche un livello di rischio tecnico ulteriore rispetto allo staking diretto.
Fonti: b14g, Core DAO, Bitquery, CryptoSlate.
