Upbit, il più grande exchange crypto della Corea del Sud, aveva in programma una giornata di lanci: tre nuovi token in un solo giorno. Invece, l’8 settembre 2026 la piattaforma si è ritrovata a gestire qualcosa di ben più delicato. Il furto di token HEMI su Upbit ha costretto l’exchange a cancellare all’ultimo minuto il debutto del token, appena 18 minuti prima dell’apertura prevista, dopo aver individuato le tracce di un attacco smart-contract avvenuto il giorno precedente. Cluster Protocol e USELESS, invece, sono arrivati sul mercato come previsto.

Punti chiave

• Upbit ha annullato il trading di HEMI dopo aver identificato un furto di token collegato a un exploit smart-contract del 7 settembre.
• Un attaccante ha sottratto circa 124,5 milioni di token HEMI non ancora rivendicati, sfruttando una vulnerabilità di reentrancy.
• I fondi rubati sono stati convertiti in stablecoin ed Ether e spostati su più blockchain, tra cui Ethereum, Arbitrum, BNB Chain, Optimism, Avalanche e Polygon.
• Cluster Protocol (CP) e USELESS hanno invece iniziato regolarmente il trading su Upbit, rispettivamente alle 2:30 e alle 21:30 ora coreana.
• Hemi ha chiarito che solo il contratto Genesis Drop è stato colpito, mentre il token principale HEMI, veHEMI e l’infrastruttura di rete restano intatti.

Upbit sospende il trading di HEMI dopo il furto di token

Upbit aveva pianificato l’apertura simultanea di HEMI e USELESS contro Bitcoin e Tether alle 21:30 ora coreana dell’8 settembre. L’exchange ha però aggiornato l’avviso alle 21:12, appena diciotto minuti prima dell’orario stabilito, per comunicare la cancellazione del supporto a HEMI. La decisione è arrivata dopo che l’exchange aveva individuato prove di una sottrazione di token legata a una vulnerabilità sfruttata il giorno prima. Upbit ha dichiarato di aver valutato l’impatto potenziale dell’incidente sul mercato prima di decidere di non aprire le contrattazioni.

L’exploit del 7 settembre e i token sottratti

L’exploit risale al 7 settembre 2026. Un attaccante ha drenato circa 124,5 milioni di token HEMI non ancora rivendicati, sfruttando una falla nel contratto legato al programma Genesis Drop. Hemi ha spiegato di aver identificato la vulnerabilità circa due ore e 44 minuti dopo l’inizio dell’attacco, un intervallo che ha permesso comunque all’attaccante di completare l’operazione prima di essere bloccato. Il progetto ha pubblicato un post-mortem tecnico per ricostruire la dinamica dell’attacco e rassicurare la community sull’entità del danno.

Come funziona l’attacco e dove sono finiti i fondi

Alla base del furto di token HEMI su Upbit c’è una vulnerabilità di reentrancy individuata in una versione modificata del contratto MerkleBox. Il meccanismo creava i blocchi di token (lockup) prima di aggiornare il saldo residuo disponibile per il claim, e consentiva agli utenti di configurare gruppi di rivendicazione con contratti di lockup personalizzati: una combinazione che ha aperto la porta all’exploit.

La vulnerabilità di reentrancy e il flash loan

L’attaccante ha creato un gruppo di claim malevolo e ha richiamato ripetutamente la funzione di rivendicazione prima che la contabilità del contratto si aggiornasse. L’operazione si è basata su un flash loan di due milioni di HEMI, eseguendo la procedura di claim in modo ricorsivo per 63 volte consecutive. È una tecnica classica negli attacchi DeFi, ma la sua efficacia dipende sempre da falle specifiche di implementazione, come quella individuata nel contratto Genesis Drop.

Il denaro rubato converte in stablecoin ed Ether

Secondo la ricostruzione di Hemi, l’attaccante ha venduto circa 80,15 milioni di HEMI per 158.200 USDT e altri 41,4 milioni per circa 84.900 USDC. Circa 2,95 milioni di HEMI sono stati scambiati per 0,3442 hemiBTC. In totale, le vendite hanno generato circa 255.000 dollari in stablecoin. I fondi sono poi stati spostati attraverso Ethereum, Arbitrum, BNB Chain, Optimism, Avalanche e Polygon, prima di essere in gran parte convertiti in Ether. Questo tipo di frammentazione su più blockchain rende più complesso il tracciamento e recupero dei fondi, un problema ricorrente nella sicurezza crypto quando gli exploit coinvolgono ponti e reti multiple.

Hemi ha precisato che l’attacco ha riguardato esclusivamente il contratto di claim Genesis Drop, mentre il token HEMI, il token di governance veHEMI, la Hemi Virtual Machine, i tunnel nativi e i sistemi di bridging di terze parti non sono stati toccati. È una distinzione importante: separa un incidente circoscritto a un meccanismo di distribuzione da un compromissione dell’intera infrastruttura di rete, che avrebbe avuto conseguenze molto più gravi.

Cluster Protocol e USELESS: le nuove listing di Upbit

Mentre HEMI restava fuori dai mercati, Cluster Protocol e USELESS hanno seguito il calendario originale. Il lancio dimostra come Upbit abbia scelto di isolare il problema di sicurezza a un singolo token, senza fermare l’intera giornata di listing.

Cluster Protocol tra AI e blockchain

Cluster Protocol ha iniziato a essere scambiato alle 2:30 ora coreana sui mercati KRW, BTC e USDT di Upbit, con depositi e prelievi supportati esclusivamente tramite la rete Base. Upbit descrive CP come un’infrastruttura di intelligenza artificiale che collega modelli, dati, potenza di calcolo GPU e agenti AI attraverso un’unica interfaccia, dotata di un sistema di pagamento onchain per staking e incentivi ai partecipanti. Il token ha una fornitura massima di 5 miliardi di unità, con circa 1,37 miliardi in circolazione, pari al 27,38% del totale, al momento del lancio. Bithumb, il secondo exchange coreano per dimensioni, ha aggiunto in seguito il proprio mercato CP/KRW nella stessa giornata.

Nelle prime fasi di scambio, Upbit ha limitato gli acquisti di CP per circa cinque minuti, imponendo restrizioni sugli ordini di vendita a prezzi inferiori almeno del 10% rispetto alla chiusura precedente. Per le prime due ore erano disponibili solo ordini a limite, una misura tipica per contenere la volatilità nelle fasi iniziali di quotazione.

USELESS ha invece iniziato a essere scambiato contro BTC e USDT alle 21:30, orario originariamente previsto anche per HEMI. Depositi e prelievi sono supportati unicamente tramite Solana. Upbit lo descrive come una meme coin orientata alla community, costruita attorno all’idea satirica di non promettere alcuna utilità tecnica né una roadmap di sviluppo centralizzata: nessuna prevendita, nessuna allocazione riservata al team.

Bithumb, Upbit e il futuro della sicurezza sugli exchange

L’episodio ha avuto ripercussioni immediate anche fuori da Upbit. Bithumb ha emesso un avviso di investimento su HEMI dopo aver individuato prelievi anomali provenienti dal contratto Genesis Drop, segnale che il problema di sicurezza non è passato inosservato agli altri operatori del mercato coreano.

Upbit ha dichiarato che rafforzerà le proprie procedure di revisione pre-listing dopo la cancellazione del trading su HEMI. Il token dovrà superare una nuova valutazione di sicurezza prima di poter essere eventualmente rilanciato sulla piattaforma in futuro. È un dettaglio che pesa: un token già passato al vaglio dei team tecnici di un grande exchange è finito comunque vittima di una falla non rilevata in tempo, e questo riporta l’attenzione sulla capacità reale degli exchange di valutare la sicurezza dei contratti prima della quotazione.

La vicenda si inserisce in un contesto più ampio, in cui i regolatori continuano a esaminare con attenzione la sicurezza degli exchange e la tutela dei consumatori nel settore crypto. Ogni exploit di questo tipo, anche quando limitato a un singolo contratto come nel caso di Genesis Drop, alimenta la pressione verso standard di revisione più stringenti prima che un token arrivi sul mercato retail.

FAQ

Perché Upbit ha cancellato il trading di HEMI?

Upbit ha annullato le contrattazioni su HEMI dopo aver identificato una vulnerabilità di sicurezza sfruttata il 7 settembre, che ha portato al furto di circa 124,5 milioni di token HEMI non ancora rivendicati.

Come è stato sfruttato il token HEMI?

Un attaccante ha sfruttato una vulnerabilità di reentrancy in una versione modificata del contratto MerkleBox, richiamando ripetutamente la funzione di claim con l’aiuto di un flash loan.

Che cosa è successo ai token HEMI rubati?

L’attaccante ha convertito i token sottratti in stablecoin ed Ether, spostando i fondi attraverso Ethereum, Arbitrum, BNB Chain, Optimism, Avalanche e Polygon.

L’infrastruttura principale della rete Hemi è stata colpita dall’exploit?

No. L’attacco ha riguardato esclusivamente il contratto di claim Genesis Drop; il token HEMI, la rete principale, i tunnel nativi e i sistemi di bridging sono rimasti inalterati.

Contenuto realizzato con l’assistenza dell’intelligenza artificiale e con revisione editoriale umana.