Exploit di Stake DAO consente all'attaccante di coniare 5,4 trilioni di vsdCRV su Arbitrum

Il 27 maggio 2026, Arbitrum ha subito una grave violazione che ha coinvolto Stake DAO, dove un hacker ha coniato oltre 5,4 trilioni di token vsdCRV sfruttando la funzionalità cross-chain del token. L'evento è stato registrato nel blocco 467160931 alle 09:17:58 UTC e ha utilizzato l'Executor LayerZero v2. Blockaid ha individuato la causa in una chiave privata compromessa appartenente al deployer di Stake DAO (0x0007…ff62). Modificando il trusted peer nella configurazione cross-chain con un contratto malevolo, l'attaccante ha inviato messaggi falsi per generare token. È riuscito a scambiare una parte per circa 43,78 ETH (circa $91.200) e ha trasferito i fondi su Ethereum. Stake DAO ha avvisato gli utenti riguardo a vsdCRV, mentre Curve Finance ha consigliato di ritirare fondi dal mercato asdCRV LlamaLend a causa di potenziali problemi con gli oracle. Questo incidente evidenzia i rischi legati alla gestione della DeFi, specialmente per i protocolli con chiavi di deployer o admin modificabili. Stake DAO non ha ancora pubblicato un'analisi dettagliata.