Un attacco ai margini del protocollo
Raydium ha annunciato il rimborso integrale delle perdite subite dagli utenti dopo che un attaccante ha sottratto circa 1,3 milioni di dollari da cinque pool di liquidità dismessi sulla blockchain Solana. L'incidente ha colpito esclusivamente infrastrutture ritirate dal servizio nel 2021, legate alla prima versione dell'AMM del protocollo, e non ha avuto alcun impatto sui pool attivi o sugli utenti correnti.
Secondo le ricostruzioni dell'investigatore on-chain Specter e della società di sicurezza blockchain PeckShield, la vulnerabilità sfruttata risiedeva in una debolezza nei meccanismi di validazione del codice AMM ormai in disuso. Attraverso un indirizzo mint contraffatto, l'attaccante ha aggirato i controlli previsti dal programma e ha prelevato liquidità dai pool interessati. Il bottino ammontava a circa 150.177 token RAY, 5.603 SOL e 893.700 USDC.
Come si sono mosse le risorse sottratte
La ricostruzione del percorso dei fondi rivela una pianificazione articolata. L'attaccante aveva ricevuto il finanziamento iniziale tramite KuCoin, poi ha trasferito le risorse da Solana a Ethereum attraverso un bridge. Una volta su Ethereum, circa 810 ETH sono finiti in Tornado Cash, mentre altri 7 ETH sono stati indirizzati verso FixedFloat. Il passaggio attraverso Tornado Cash rende più difficile il tracciamento, anche se vale ricordare che il mixer era stato rimosso dalla lista delle sanzioni del Dipartimento del Tesoro statunitense nel marzo 2025.
Raydium ha confermato che i pool colpiti appartenevano a un programma deprecato, privo di partecipazione attiva da parte degli utenti, e che l'interfaccia del protocollo non consentiva interazioni con queste strutture. Il team ha dichiarato che tutte le perdite verranno coperte dal treasury del progetto, escludendo qualsiasi ricaduta economica sugli utenti che ancora detenevano esposizione residua verso i vecchi pool.
Codice abbandonato, rischi concreti
L'episodio riporta l'attenzione su un problema strutturale del settore decentralizzato: i contratti intelligenti dismessi o non più manutenuti possono conservare liquidità reale anche dopo essere stati sostituiti da versioni più recenti. Questa settimana si era già verificato un caso analogo — non correlato a Raydium — in cui un altro protocollo aveva subito una perdita superiore a 1,5 milioni di dollari a causa della manipolazione dei saldi di un pool, con prelievo delle riserve in WETH.
Per Raydium non si tratta della prima risposta pubblica a un incidente di sicurezza: il protocollo aveva già affrontato situazioni simili in passato, dimostrando una certa capacità di contenimento dei danni in termini di reputazione. La rapidità con cui è stato comunicato il piano di rimborso ha limitato l'allarme tra gli utenti, anche se la dinamica dell'attacco conferma che il codice legacy rappresenta una superficie di rischio sottovalutata nelle architetture DeFi costruite su più generazioni di smart contract.
