Sinuspinde ng Rocket ang mga deposito, pag-withdraw, at pag-trade matapos manipulahin ng isang attacker ang isang dormant na perpetual market at nag-withdraw ng humigit-kumulang $287,000 na positibong PnL mula sa Bridge ng platform.
Sinabi ng Rocket sa isang Setyembre 7 update sa X na ang insidente sa seguridad ay naganap humigit-kumulang 19:00 UTC noong Setyembre 5, nang targetin ng isang attacker ang isang hindi aktibong perpetual market gamit ang isang burner account.
Naglagay ang attacker ng mga order sa artipisyal na pinataas na presyo at nag-trade laban sa kanilang sarili, na lumilikha ng artipisyal na kita sa isang account habang itinutulak ang burner account sa pagkalugi. Kalaunan ay nag-withdraw ang kumikitang account ng humigit-kumulang $287,000 mula sa Bridge, na iniiwan ang nagresultang pagkalugi upang ma-socialize sa buong platform.
Sa halip na ilarawan ang isang kahinaan ng smart contract, ang paunang paglalarawan ng Rocket sa insidente ay nakasentro sa manipulasyon ng isang dormant na perpetual market na may limitadong aktibidad.
Gamit ang isang disposable account, nakapag-post ang attacker ng mga order sa pinataas na presyo bago kumilos bilang magkabilang panig ng mga trade. Sinabi ng Rocket na ang mga transaksyon ay nagdulot ng “pekeng kita” para sa isang account habang ang burner account ay nag-ipon ng katumbas na pagkalugi at naging insolvent.
Pagkatapos ay nag-withdraw ang account na nagpapakita ng positibong PnL ng humigit-kumulang $287,000 sa pamamagitan ng Bridge bago itinigil ang aktibidad.
Mula noon ay ihininto na ng Rocket ang lahat ng trading, deposito, at pag-withdraw habang iniimbestigahan ng kanilang koponan ang insidente. Hindi nagbigay ang proyekto ng timeline para sa pagpapanumbalik ng mga apektadong serbisyo o isiniwalat kung gaano karaming user ang naapektuhan ng socialized loss.
Kinlasipika ng blockchain security tracker na SlowMist ang insidente bilang isang price manipulation attack at naitala ang pagkalugi sa $287,000.
Ang paraan ay may pagkakatulad sa mga nakaraang insidente sa mga thin perpetual market kung saan nagawa ng mga trader na manipulahin ang mga presyo o posisyon at ilipat ang nagreresultang pagkalugi sa mga liquidity provider o iba pang bahagi ng isang trading platform.
Noong Marso 2025, tinarget ng isang trader ang thin JELLY market ng Hyperliquid sa pamamagitan ng pagbubukas ng isang malaking short position habang binibili ang token sa mga decentralized exchange. Ang aktibidad ay nagtulak sa presyo ng JELLY nang husto pataas at nagtulak sa short patungo sa liquidation, sa huli ay inilipat ang posisyon sa liquidity vault ng Hyperliquid.
Gaya ng naiulat na ng crypto.news, pinaghihigpitan ng Hyperliquid ang mga account ng trader sa reduce-only mode bago bumoto ang mga validator na i-delist ang JELLY perpetual market at ayusin ang mga outstanding position.
Isang hiwalay na insidente ng Hyperliquid noong Marso 2025 ang nagpakita na inabsorb ng HLP vault nito ang humigit-kumulang $4 milyon sa pagkalugi matapos mag-withdraw ng collateral ang isang trader mula sa isang mataas na leveraged Ether position bago ang liquidation. Sinabi ng Hyperliquid noong panahong iyon na ang kaganapan ay hindi isang protocol exploit at kalaunan ay binago ang mga kinakailangan sa leverage para sa mga posisyon ng Bitcoin at Ether.
Dahil suspendido ang operasyon ng platform, sinabi ng Rocket na nakikipagtulungan ito sa mga security firm at ahensya ng tagapagpatupad ng batas upang imbestigahan ang pag-atake at mabawi ang mga pondo.
Nakikipag-ugnayan ang koponan sa mga cryptocurrency exchange, cross-chain bridge, at stablecoin issuer upang subaybayan ang mga ninakaw na asset at subukang i-freeze ang mga ito. Hindi isiniwalat ng Rocket ang mga pagkakakilanlan ng mga kumpanya ng seguridad o ahensya ng tagapagpatupad ng batas na kasama sa imbestigasyon.
Ginagamit ang mga katulad na hakbang matapos ang iba pang kamakailang insidente sa DeFi, lalo na kapag sinubok ng mga attacker na ilipat ang mga pondo sa pamamagitan ng mga bridge o centralized trading venue.
Nagdusa ang AFX mula sa isang cross-chain bridge exploit noong Hulyo na nag-drain ng 24.15 milyong USDC. Nakipagtulungan ang security firm na Blockaid sa koponan ng Arbitrum upang imbestigahan ang insidente habang inilipat ng attacker ang ninakaw na USDC sa Ethereum at kinonvert ang mga nalikom sa 12,467.5 ETH.
Mas maaga noong Hunyo, hindi pinagana ng Axelar ang mga ruta ng bridge na konektado sa Secret Network matapos magresulta ang isang exploit sa humigit-kumulang $4.7 milyon na pagkalugi. Sinabi ng Axelar na ang insidente ay limitado sa mga bridged asset sa Secret Network at hindi nakompromiso ang core protocol nito.
Hindi isiniwalat ng Rocket kung may anumang bahagi ng $287,000 ang na-freeze o nabawi na sa ngayon.
Naghahanda ang koponan ng plano sa pagbawi para sa mga user na apektado ng insidente, kung saan ang mas maliliit na account ay inaasahang uunahin kapag nagsimula ang mga refund.
Sinabi ng Rocket na naiintindihan nito na ang kompensasyon ang update na hinihintay ng mga apektadong user ngunit magbibigay lamang ng mga partikular na detalye kapag kaya na itong gawin nang responsable. Hindi pa isiniwalat ng platform ang laki ng mga available nitong pondo sa pagbawi, mga kinakailangan sa eligibility, paraan ng pagbabayad, o isang timetable para sa mga reimbursement.
Ang mga programa sa pagbawi ay nagkaroon ng iba't ibang anyo kasunod ng mga nakaraang pag-atake sa mga decentralized trading protocol.
Ang GMX, halimbawa, ay nakumpleto ang humigit-kumulang $44 milyon na plano sa kompensasyon noong Agosto 2025 para sa mga liquidity provider na apektado ng isang exploit ng V1 GLP pool nito. Ginamit ng protocol ang mga GLV token para sa mga distribusyon, habang ang treasury ng DAO nito ay nagkaloob ng $2 milyon na kakulangan.
Ang GMX attacker ay nagbalik na dati ng humigit-kumulang $37.5 milyon sa humigit-kumulang $42 milyon na ninakaw matapos mag-alok ang protocol ng 10% white-hat bounty. Ang apektadong V1 system ay ihininto matapos ang pag-atake, habang ang GMX V2 ay nanatiling gumagana.
Hindi pa inaanunsyo ng Rocket ang katulad na bounty o nag-alok ng mga termino nang direkta sa attacker. Ang kasalukuyang pagsisikap nitong bumawi ay nananatiling nakatuon sa pagsubaybay sa mga na-withdraw na pondo at pagbuo ng plano sa reimbursement.
Binalaan ng platform ang mga user na mag-ingat sa mga impersonator na sumusubok na samantalahin ang insidente. Sinabi ng Rocket na ang impormasyon sa pagbawi ay ipapahayag lamang sa pamamagitan ng opisyal nitong X account at mga channel sa Discord, idinagdag na ang mga miyembro ng koponan ay hindi makikipag-ugnayan sa mga apektadong user sa pamamagitan ng direct message.
ETH
USDC