Sfruttamento su vault di Solv Protocol sottrae $2.7M in SolvBTC

Solv Protocol sta indagando su un exploit che ha drenato circa $2.7M da uno dei suoi vault per rendimento strutturato, aggiungendosi a una lista crescente di incidenti di sicurezza nel settore della finanza decentralizzata quest'anno.

In un aggiornamento di giovedì su X, il progetto ha confermato che circa 38.0474 SolvBTC sono stati rimossi da uno dei suoi vault Bitcoin Reserve Offering. 

La piattaforma ha dichiarato che coprirà interamente le perdite, precisando che meno di 10 utenti sono stati interessati dalla violazione.

Solv Protocol gestisce una riserva di Bitcoin on-chain pensata per trasformare BTC in un asset produttivo. 

Gli utenti possono depositare Bitcoin in cambio di SolvBTC, un asset wrapped che consente alle partecipazioni sottostanti di essere impiegate in strategie di lending, borrowing e staking su altre blockchain. 

Il protocollo offre anche prodotti di rendimento strutturato noti come Bitcoin Reserve Offerings, o BRO, che confezionano l'esposizione a BTC in strategie di investimento basate su vault.

Secondo il sito del progetto, Solv detiene circa 24,226 BTC, valutati oltre $1.7 billion, e si definisce la più grande riserva di Bitcoin on-chain. 

I dati di DefiLlama mostrano oltre $508 million attualmente bloccati in prodotti correlati a SolvBTC.

Sebbene il protocollo non abbia pubblicato un'analisi tecnica completa della violazione, i ricercatori di sicurezza hanno indicato una vulnerabilità in uno degli smart contract di Solv che ha permesso all'attaccante di coniare token in eccesso.

Un bot di monitoraggio automatico gestito dalla società di sicurezza Decurity ha indicato che l'exploiter ha innescato una falla di doppia emissione in un contratto BitcoinReserveOffering 22 volte. 

Attraverso le transazioni ripetute, l'attaccante ha gonfiato 135 BRO in circa 567 milioni di token BRO e poi ha scambiato la posizione per circa 38 SolvBTC.

Il ricercatore pseudonimo Pyro ha caratterizzato l'incidente come un attacco di reentrancy, una tecnica in cui chiamate ripetute ai contratti sfruttano debolezze nell'aggiornamento dei saldi all'interno degli smart contract. 

Varianti di questo attacco sono state responsabili di numerose violazioni ad alto profilo nella DeFi negli ultimi anni.

Solv ha dichiarato di essere ora al lavoro con diverse società di sicurezza blockchain, tra cui Hypernative Labs, SlowMist e CertiK, per indagare sull'incidente e rafforzare i contratti interessati. 

"Tutti gli altri vault e i fondi degli utenti rimangono sicuri e non interessati. Stiamo indagando attivamente con i principali partner per la sicurezza e abbiamo adottato misure per prevenire eventuali recidive", ha aggiunto.

Nel tentativo di recuperare i fondi sottratti, Solv ha offerto all'attaccante una ricompensa white hat del 10% se i fondi vengono restituiti. 

Il protocollo ha anche pubblicato un indirizzo wallet Ethereum nel suo annuncio per facilitare la comunicazione con l'attaccante, sebbene al momento della pubblicazione non fosse stata registrata alcuna risposta.

La DeFi resta vulnerabile

La sicurezza della DeFi resta una preoccupazione dopo un difficile 2025, durante il quale sono stati sottratti oltre $3.4 billion in tutto il settore.

E sebbene i primi mesi del 2026 non abbiano visto la stessa scala di mega-hack, una serie di violazioni più piccole ma mirate ha mantenuto le preoccupazioni sulla sicurezza ben presenti.

Tra gennaio e febbraio, i settori crypto e DeFi hanno registrato circa $112.5 million di perdite in 31 incidenti.

Gennaio ha rappresentato la maggior parte dei danni, con $86 million sottratti in diversi progetti.

All'inizio di questa settimana, il mercato sDOLA LlamaLend di Curve Finance è stato sfruttato tramite una vulnerabilità legata alla configurazione del suo oracle di prezzo, permettendo all'attaccante di guadagnare circa $240,000 attraverso liquidazioni guidate da flash loan.

All'inizio di febbraio, il protocollo di liquidità cross-chain CrossCurve ha perso circa $3 million dopo che gli attaccanti hanno sfruttato un difetto che permetteva a messaggi cross-chain falsificati di bypassare la validazione del gateway e sbloccare asset dal suo contratto PortalV2.

Sebbene il valore complessivo delle perdite sia diminuito rispetto alle violazioni su larga scala verificatesi all'inizio del 2025, gli analisti della sicurezza affermano che un piccolo numero di incidenti ad alto impatto continua a modellare il profilo di rischio per le piattaforme di finanza decentralizzata.