TranchePool-aanval verplaatst ongeveer 1,0134 mln USDC in 202 seconden

Wat er gebeurde

GCSA ontdekte dat een aanvaller een cross-day settlement flaw in TranchePool op Avalanche misbruikte. Met die kwetsbaarheid verplaatste de dader circa 1,0134 miljoen USDC in 202 seconden. De fout zat in de vault-application, niet in het onderliggende Avalanche-netwerk.

Volgens GCSA gebruikte de aanvaller flash loans en herhaalde opnames om het bedrag te verplaatsen.

Daarnaast rapporteerde GCSA een phishingcampagne die zich voordeed als security@ku.com om zich als KuCoin voor te doen. De campagne probeerde gebruikers te laten downloaden van remote-control software. De gebruikte domeinen hadden geen DMARC-configuratie. Na melding door GCSA voerde KuCoin remediatie uit en activeerde een DMARC quarantine policy.

GCSA wees ook op een mogelijk software supply-chain risico rond een MCP toolkit die in Bitkub-officiële documentatie werd genoemd. Het oorspronkelijke package was verwijderd, waarna een derde partij de npm-packagenaam herregistreerde. GCSA waarschuwde dat het installeren van het pakket zonder het vastzetten van een versie of het gebruik van plaintext sleutels credentials kan blootstellen. GCSA vond geen bewijs van daadwerkelijke diefstal en meldde dat Bitkub niet had gereageerd op de notificatie.

GCSA zei dat het de relevante platforms had geïnformeerd en dat het zijn analyses en ondersteunend bewijs publiceerde.

Waarom dit telt

Het incident toont risico's in DeFi-applicaties, phishing en software supply-chain kwesties. Beleggers moeten weten dat zowel smart contract-zwaktes als derdepartijsoftware en phishing tot verliezen kunnen leiden.