Hack a KiloEx: rubati più di sette milioni di dollari

Ieri sera, la piattaforma di trading KiloEx ha annunciato di aver subito un hack.

Gli hacker sono riusciti a rubare 7,5 milioni di dollari, ed ora la piattaforma sta cercando di recuperarne almeno una parte.

L’operatività della piattaforma è stata sospesa. 

L’hack alla piattaforma di trading KiloEx

Secondo quanto dichiarato da KiloEx, è stato violato il Vault della piattaforma. 

Il team afferma anche che l’attacco è stato contenuto, perchè hanno immediatamente sospeso l’utilizzo della piattaforma per evitare danni peggiori. 

Non sono stati resi noti i dettagli tecnici dell’attacco, ma solo che lo stanno ancora analizzando collaborando con i partner dell’ecosistema crypto per rintracciare e recuperare i fondi, ove possibile.

Il rapporto completo dell’incidente sarà pubblicato nei prossimi giorni.

In particolare il team ha fatto sapere che stanno collaborando con BNB Chain, Manta Network ed alcuni partner per la sicurezza blockchain (Seal-911, SlowMist e Sherlock) per indagare sull’exploit del KiloEx Vault. 

Attualmente le uniche altre cose note sono che i fondi rubati vengono instradati tramite zkBridge e Meson, e che la piattaforma sta cercando di interagire con urgenza con entrambi i protocolli per interrompere le transazioni in corso e prevenire ulteriori perdite.

KiloEx

KiloEx è un DEX su BNB Chain, opBNB, Manta e Base per il trading di future perpetual.

Stando ai dati di DeFiLlama aveva un TVL superiore ai 42 milioni di dollari ieri prima dell’attacco, mentre ora è sceso a 34. 

Il TVL massimo mai raggiunto dalla piattaforma è stato di 51 milioni di dollari ad inizio di quest’anno, ovvero un TVL decisamente contenuto rispetto ad altri DEX. Ad esempio Jupiter, il principale DEX per derivati per TVL, supera gli 1,4 miliardi di dollari, e tutti i primi dieci DEX per derivati con TVL maggiore superano i 50 milioni di dollari. 

Anzi, i primi sei superano tutti i 100 milioni, e di fatto detengono gran parte della quota di mercato in questo specifico settore. 

Anche per quanto riguarda i volumi di scambio KiloEx non brilla particolarmente. 

Infatti il mese migliore della sua storia, da questo punto di vista, risulta essere stato dicembre 2024, con più di 3,6 miliardi di dollari, che però equivalgono ad una media giornaliera di poco superiore ai 116 milioni. 

Jupiter ad esempio a gennaio 2025 ha superato i 36 miliardi di volume di scambi complessivo, ovvero dieci volte quello di KiloEx.

L’attacco hack ai danni di KiloEx

Stando ad informazioni non ufficiali, il KiloEx Vault sarebbe stato attaccato su più catene. 

Inoltre circola voce che l’aggressore abbia utilizzato un indirizzo Tornado Cash per eseguire transazioni su BNB, Base e Taiko. 

Un’analisi preliminare suggerisce che la vulnerabilità potrebbe essere stata causata da problemi di controllo degli accessi nell’oracolo dei prezzi. 

L’azienda di sicurezza informatica PeckShield sostiene che i fondi sottratti sono stati 3,3 milioni di dollari su Base, 3,1 milioni su opBNB ed 1 milione su BSC. 

L’ipotesi è che le informazioni utilizzate da smart contract per determinare il prezzo di un asset siano state manipolate per poter incassare fondi in modo illecito, per poi prelevarli. 

Il fatto è che in questo modo si possono creare singole transazioni, non più bloccabili né annullabili una volta registrate on-chain, con cui realizzare enormi profitti manipolando i prezzi di scambio. 

Secondo il co-fondatore della società di analisi blockchain Fuzzland, Chaofan Shou, chiunque può modificare l’oracolo dei prezzi di Kilo, perchè il loro smart contract verifica che il chiamante sia un inoltro affidabile, ma verifica il chiamante inoltrato. 

Si sarebbe trattato pertanto una vulnerabilità molto semplice da sfruttare. 

La reazione del token KILO

Il prezzo del token nativo della piattaforma, KILO, è crollato del 27%. 

Da notare che questo crollo, seppur molto veloce, ha semplicemente riportato il prezzo di KILO ai livelli di tre giorni fa, quindi appare persino un po’ forzato definirlo crollo. D’altronde sembra possibile che la piattaforma prima o poi possa anche riprendere l’operatività, dato che l’attacco è stato contenuto. 

Ovviamente però prima dovrà risolvere la vulnerabilità. 

KILO è sbarcato sui mercati crypto molto di recente, meno di un mese fa, e da allora il suo prezzo aveva già perso molto, dato che il massimo storico è proprio il prezzo iniziale di lancio, e rispetto a quel massimo sta già perdendo il 75%.