In una significativa violazione della sicurezza il 18 maggio 2026, Echo Protocol, una piattaforma DeFi focalizzata su Bitcoin implementata sulla blockchain ad alte prestazioni Monad, ha subito un exploit tramite una chiave amministrativa compromessa. L'attaccante ha mintato circa 1.000 token eBTC non autorizzati, creando circa $76.7 milioni in Bitcoin sintetico non supportato ai prezzi attuali.
L'hacker ha sfruttato privilegi amministrativi sul contratto eBTC assegnando a sé stesso il DEFAULT_ADMIN_ROLE e il MINTER_ROLE. Dopo aver mintato i token falsi, ha rimosso i suoi permessi di amministratore per non lasciare tracce. Ha poi utilizzato circa 45 eBTC come collaterale su Curvance per prendere in prestito veri asset di Bitcoin avvolto (WBTC), estraendo oltre $816K–$822K in valore reale. I fondi rubati sono stati instradati attraverso mixer come Tornado Cash per l'oscuramento.
Echo Protocol ha risposto rapidamente sospendendo tutte le operazioni di ponte cross-chain, riprendendo il controllo della chiave admin e bruciando la maggior parte dei rimanenti eBTC falsi (circa 955 token) lasciati nel portafoglio dell'attaccante. Il team ha confermato che la blockchain principale è rimasta sicura e ha avviato un'indagine completa. Finora non sono stati segnalati perdite diffuse di fondi degli utenti oltre all'importo estratto.
Questo incidente sottolinea i rischi ongoing nel DeFi, in particolare per quanto riguarda la gestione delle chiavi admin e le vulnerabilità delle firme singole. Segna un altro exploit di alto profilo in una serie di attacchi recenti, evidenziando la necessità di pratiche di sicurezza più solide come i portafogli multi-firma e audit rigorosi mentre l'ecosistema matura. Gli utenti sono invitati a rimanere vigili e seguire i canali ufficiali per aggiornamenti.
