ether.fi Cash Pinnacle

Eventi documentati con conseguenze non ancora chiuse. Ogni voce ha fonte e data.

1. 11 set 2026 Hack / furto di fondi Minore 38K USD ● aperto

   Contratto di prelievo dismesso svuotato sfruttando le autorizzazioni rimaste attive: 15,45 ETH da 11 portafogli

   L'11/9/2026, verso le 07:20 UTC, un attaccante ha svuotato 11 portafogli sfruttando AtomicQueue, una vecchia coda di prelievo costruita da Veda e non più in uso. Il difetto è un controllo mancante: la funzione solve() non verificava che chi la chiamava fosse davvero il «solver» indicato. L'attaccante ha quindi creato una richiesta su misura con updateAtomicRequest() indicando la VITTIMA come solver; il contratto ha poi chiamato finishSolve sull'indirizzo della vittima ed eseguito un transferFrom, usando l'autorizzazione ERC-20 che quella vittima aveva concesso al contratto tempo prima e mai revocato. Bottino: 14,4455 liquidETH da 9 indirizzi più circa 7,05 USDC da altri 2, per 15,4536 ETH complessivi (circa 38.000 dollari); un solo indirizzo ha perso 12,37 liquidETH, l'86% del totale. Dettaglio tecnico che spiega chi è stato colpito e chi no: tutte e 11 le vittime erano smart wallet — 7 indirizzi aggiornati via EIP-7702 e 3 Coinbase Smart Wallet — perché l'attacco richiedeva che l'indirizzo della vittima contenesse codice eseguibile; gli indirizzi ordinari non aggiornati facevano fallire la chiamata e sono rimasti intoccati. Nel giro di circa 8 minuti l'attaccante ha versato 15,5 ETH in Tornado Cash con 11 transazioni separate, il che rende il recupero improbabile. Il primo allarme pubblico è di ExVul alle 07:51 UTC, seguito da SlowMist, che dichiara di aver avvisato il team in privato prima della divulgazione. L'amministratore delegato Mike Silagadze ha confermato l'accaduto rispondendo nei thread di ExVul e SlowMist: ha definito AtomicQueue un vecchio contratto Veda approvato da un numero ristretto di utenti, ha detto che il problema era risolto e che gli utenti colpiti sarebbero stati rimborsati. QUELLO CHE NON SI SA, ed è rilevante: ether.fi non ha pubblicato alcun post-mortem formale. Il blog ufficiale si ferma al 13/8/2026 e l'account @ether_fi non ha pubblicato nulla sull'attacco — il 12/9 stava promuovendo un'iniziativa commerciale. Il rimborso è stato annunciato a parole, ma non esiste una prova pubblica e verificabile che sia stato eseguito: per questo la voce resta aperta. Non risultano invece compromessi eETH, weETH, la LiquidityPool e la contabilità dei vault Liquid attuali, e nessuna fonte segnala effetti sulla carta ether.fi Cash, che non passa da questo contratto.

   ↗ fonte

verificato il 14 set 2026

Media ponderata sul numero di recensioni di 2 piattaforme pubbliche (395 recensioni totali). Non è il nostro voto: è la media di quelle piattaforme, pesata sul volume.