Hacker sfrutta falla di autorizzazione su DeFi, ruba 2 milioni di dollari in un giorno

Un hacker ha sfruttato una falla di autorizzazione su due protocolli DeFi, Fetch.ai e NuNet, per rubare circa 2 milioni di dollari in un’unica operazione. L’attacco, avvenuto il 20 settembre 2026, ha causato un crollo verticale del token NTX di NuNet, che ha perso il 65% del valore in 24 ore, toccando un minimo storico di 0,000328 dollari. L’exploit ha coinvolto un unico wallet, che ha drenato circa 1,56 milioni di dollari in FET da Fetch.ai e coniato 452.000 dollari in token NTX, per un totale di 2,01 milioni di dollari. I fondi rubati sono stati convertiti in 546,36 ETH, pari a circa 1,44 milioni di dollari, secondo i dati di PeckShieldAlert.

Metodo tecnico e impatto sul mercato

L’attacco ha sfruttato una firma di autorizzazione valida per chiamare la funzione conversionIn sul contratto TokenConversionManagerV3, liberando l’inventario residuo di FET del convertitore. Blockaid ha ricostruito la dinamica dell’attacco, rilevando che lo stesso wallet ha ricevuto il bottino di FET e ha incassato un’ingente emissione di token NTX proveniente dall’account deployer di NuNet. Questo episodio dimostra come un singolo exploit possa azzerare rapidamente la fiducia degli investitori su un token a bassa capitalizzazione.

Dopo l’ottenimento dei fondi, l’attaccante ha convertito i token rubati in Ethereum, un passaggio tipico in questo genere di attacchi, utile a smistare i proventi verso exchange o mixer. La conversione in un asset più liquido come Ethereum complica il tracciamento e riduce le possibilità di recupero per i protocolli colpiti.

Perdite complessive nel settore DeFi

L’exploit Fetch.ai NuNet si inserisce in un mese già particolarmente pesante per la sicurezza dei protocolli decentralizzati. Prima di questo episodio, DefiLlama aveva già registrato circa 331 milioni di dollari di perdite distribuite su 17 incidenti nel corso di settembre 2026, la fetta più grande delle quali è riconducibile all’incidente da 320 milioni di dollari che ha colpito Liquid Network. Con l’aggiunta di Fetch.ai e NuNet, il conto complessivo di settembre supera ora i 333 milioni di dollari su 18 incidenti distinti.

La sequenza di episodi ravvicinati suggerisce che i meccanismi di autorizzazione e i sistemi di pricing restano tra i punti più vulnerabili dell’infrastruttura DeFi, indipendentemente dalla blockchain sottostante. Al momento della pubblicazione, né Fetch.ai né NuNet hanno rilasciato una dichiarazione ufficiale sull’accaduto. Il token FET di Fetch.ai ha perso circa il 5% nello stesso arco temporale, un calo decisamente più contenuto rispetto a NTX. Va detto che la flessione è arrivata mentre l’intero mercato crypto era in rosso, con la capitalizzazione totale in calo del 4%: questo rende più difficile isolare quanto del ribasso di FET sia dovuto specificamente all’exploit e quanto al sentiment generale negativo.

• Il token NTX è sceso di circa il 65% in 24 ore, toccando un minimo storico di 0,000328 dollari.
• L’attaccante ha convertito i fondi rubati in 546,36 ETH, pari a circa 1,44 milioni di dollari.
• La sequenza di episodi ravvicinati suggerisce che i meccanismi di autorizzazione e i sistemi di pricing restano tra i punti più vulnerabili dell’infrastruttura DeFi.