Blocul 20.697.260 a fost scris pe rețeaua BounceBit în seara de 19 august 2026, la 21:02:35 UTC, și nu avea nimic special. Câteva secunde mai târziu, protocolul a validat fără ezitare o tranzacție care scotea primul pachet de tokenuri BB dintr-un cont ce nu ceruse nimănui așa ceva. Au urmat încă treisprezece, răsfirate pe aproape cinci ore. Când producția de blocuri s-a oprit, la 02:36:37 UTC, din nouă conturi de mainnet lipseau aproximativ 286,5 milioane de tokenuri BB, în jur de 3,1 milioane de dolari la prețul de atunci.
Peste două zile a venit anunțul care a surprins piața. Rețeaua nu urma să fie reparată, ci închisă.
Aici stă partea interesantă, fiindcă trei milioane de dolari înseamnă un incident mediu într-o industrie care a încasat lovituri de o sută de ori mai mari fără să clipească. Ronin a pierdut 625 de milioane în martie 2022 și funcționează și astăzi, iar BNB Chain, atacată în octombrie 2022 pentru aproape 570 de milioane, a repornit în câteva ore. BounceBit a mers pe alt drum, dintr-un motiv care nu are legătură cu mărimea pagubei.
O breșă care nu a avut nevoie de nicio cheie privată
Ce schimbă complet natura poveștii e că nu s-a furat nicio credențială. Portofelele au rămas întregi, dispozitivele hardware la fel, iar cheile conturilor golite erau intacte tot timpul. Proprietarii lor nu aveau, practic, cum să se apere.
A cedat chiar regula prin care rețeaua stabilea cine are dreptul să miște banii cui, ceea ce tehnic se numește vulnerabilitate de autorizare la nivel de protocol. E ca la un ghișeu unde formularul de transfer are o rubrică pentru plătitor și una pentru beneficiar, iar funcționarul chiar verifică semnătura, doar că o compară cu rubrica greșită. Nimeni nu falsifică nimic, controlul se uită pur și simplu în altă parte.
BounceBit Chain rula pe stack-ul Evmos, o soluție din ecosistemul Cosmos care permite unei rețele proprii să execute contracte compatibile cu Ethereum. Particularitatea lui e că lasă smart contractele să apeleze direct module native, funcții scrise adânc în codul rețelei. Unul dintre ele administra conturile cu vesting, iar acolo s-a rupt lanțul de verificări. Cine a urmărit exploitul de 3,2 milioane de dolari de la Squid și disputa din jurul modulului SquidRouterModule recunoaște imediat aceeași fisură, apărută la joncțiunea dintre contract și modul.
Ce e un cont cu vesting și de ce a contat aici
Vestingul eliberează tokenurile în tranșe, lună de lună, cam în felul în care angajații unei companii listate primesc eșalonat pachetele de acțiuni. Modulul care se ocupă de asemenea conturi are o obligație elementară. Contul de unde pleacă banii poate fi debitat numai dacă a autorizat el însuși operațiunea. Aici legătura s-a rupt, iar verificarea de permisiune a rulat pe alt cont decât cel care plătea, așa că atacatorul a putut indica drept sursă conturi care nu îi aparțineau, iar rețeaua a executat cuminte instrucțiunea.
Diferența față de un furt clasic e considerabilă. Dacă îți fură cineva cheia privată, dauna se oprește la portofelul tău. Când cedează regula de autorizare, toate conturile ajung expuse deodată, iar cine își ținea BB pe un hardware wallet era la fel de vulnerabil ca oricine altcineva.
Reconstituirea completă a incidentului, cu ora fiecărei tranzacții și cu traseul fondurilor, a fost publicată de Mihai Popa, analist și jurnalist la Cryptology.ro, publicația în limba română care urmărește sistematic atacurile on-chain și piața crypto.
Patruzeci și două de minute până la oprirea blocurilor
Cronologia arată un atacator răbdător. Prima tranzacție neautorizată a plecat la 21:02 UTC pe 19 august, ultima la 01:54 UTC pe 20 august, cu paisprezece operațiuni și nouă conturi între ele. Blocurile au fost oprite patruzeci și două de minute mai târziu. Cifra capătă sens prin comparație, fiindcă la Ronin furtul a ieșit la iveală după șase zile, iar la BNB Chain validatorii au oprit rețeaua în câteva ore. Reacția a fost, așadar, bună față de media industriei și lentă față de așteptarea rezonabilă ca transferurile masive dintr-un cont cu vesting să declanșeze automat o alarmă.
Destinația fondurilor spune și ea ceva despre cine se afla în spate. Circa 254 de milioane de tokenuri au ajuns la un exchange mare, alte zece milioane la un al doilea, iar restul au rămas într-o adresă de consolidare. Nu s-a folosit niciun mixer, totul mergând direct către platforme care cer verificare de identitate, ceea ce sugerează ori neglijență, ori pariul că suma e prea mică pentru o anchetă serioasă. Cererile de înghețare au ocolit adresele cu fonduri amestecate, unde banii altor utilizatori stau laolaltă cu cei suspecți, o alegere corectă etic și, totodată, o recunoaștere că o parte din tokenuri nu se mai recuperează.
De ce nu a mai existat varianta reparării
Reacția standard după un asemenea incident e previzibilă. Scrii un patch, convingi validatorii să îl instaleze, repornești lanțul. BounceBit spune că nu avea această opțiune, dintr-un motiv prozaic. Furnizorul fundației dispăruse.
Evmos s-a închis în mai 2026 printr-un vot de guvernanță trecut cu 99,8% dintre voturi. Nodurile s-au oprit la blocul 37.318.000, iar site-ul oficial și block explorerul au devenit inaccesibile. Cazul nu a fost izolat, fiindcă ecosistemul Cosmos a trecut printr-un val de închideri care a înghițit proiecte precum Comdex, Kujira sau Stride, din motive lipsite de dramatism, adică prea puțini utilizatori și venituri insuficiente. Cine urmărește zona își amintește probabil și de golirea punții Gravity Bridge, dintre Ethereum și Cosmos, de 5,4 milioane de dolari, episod care arăta deja cât de subțire devenise stratul de întreținere al acestei infrastructuri.
Analogia potrivită vine din construcții. Îți ridici casa pe un sistem prefabricat cumpărat de la un producător serios și ani la rând nu ai nicio bătaie de cap. Apoi producătorul dă faliment. Casa stă în picioare, numai că problema apare la prima fisură, când nu mai ai de unde cumpăra piesa potrivită și nici pe cine suna ca să îți confirme că reparația improvizată ține.
Formularea echipei merge exact în direcția asta. Mutarea fork-ului pe un cod succesor nu ar fi fost o actualizare de rutină, ci o replatformare cu rescriere completă, audit nou și revalidare integrală. Peste argumentul tehnic vine unul de afaceri, formulat destul de rece. Majoritatea produselor și a utilizatorilor funcționau deja pe BNB Chain, iar un Layer 1 separat nu mai avea justificare.
Ce se întâmplă cu tokenurile deținătorilor
Partea practică e, paradoxal, cea mai puțin dramatică. BB se reemite ca token BEP-20 pe BNB Chain, iar soldurile se calculează după un snapshot al rețelei la blocul 20.697.260, înregistrat cu câteva secunde înaintea primei tranzacții neautorizate. Tokenurile mutate de atacator nu ajung în noul contract, așa că, în contabilitatea tokenului reemis, atacul nu s-a întâmplat.
Un snapshot e echivalentul unui extras de cont emis la oră fixă, simultan pentru toți clienții unei bănci, iar ce scrie acolo devine adevărul oficial. Dacă la 21:02:35 aveai patru mii de tokenuri BB, primești patru mii în versiunea nouă. Mecanismul nu e o invenție a acestui caz, fiindcă Terra a recurs la aceeași logică în mai 2022, după prăbușirea UST, iar Ethereum a mers mai departe în 2016, cu hard fork-ul care a anulat furtul din The DAO. BounceBit face ceva mai simplu, fiindcă nu rescrie nimic. Abandonează lanțul vechi și repornește contabilitatea în altă parte.
Trebuie să faci ceva dacă deții BB
Nu în sensul unei cereri sau al unei operațiuni manuale. Cine ține tokenurile pe un exchange urmărește anunțurile platformei, care reconciliază soldurile de partea ei, iar cine le ține în portofel propriu așteaptă adresa oficială a noului contract și o verifică prin mai multe canale, fiindcă o postare se clonează în cinci minute. Regula veche rămâne valabilă. Nimeni care are nevoie de fraza ta seed nu te ajută să îți recuperezi tokenurile.
Datele despre momentul exact al snapshotului, despre traseul tokenurilor și despre reacția prețului provin din materialul semnat de Mihai Popa pentru Cryptology.ro, unde cazul e documentat pas cu pas, cu sursele primare la vedere.
Cine a construit BounceBit și cine a pus banii
Proiectul a apărut la începutul lui 2024, când restakingul era tema momentului, iar Bitcoinul stătea nemișcat în portofele. BounceBit aducea BTC nativ sau versiuni împachetate precum BTCB și WBTC în ecosistemul propriu, sub forma BBTC, ca să producă randament, într-un model etichetat CeDeFi. Finanțarea a venit dintr-o rundă seed de șase milioane de dolari, co-condusă de Blockchain Capital și Breyer Capital, iar în aprilie 2024 a intrat în acționariat YZi Labs, entitatea cunoscută anterior drept Binance Labs. Un investitor de calibru nu garantează securitatea codului, lucru demonstrat aici fără efort, dar explică de ce destinația migrării e tocmai BNB Chain.
De ce a urcat prețul BB după anunțul închiderii
BB a atins un minim istoric de 0,0079 dolari pe 20 august, în plin incident, apoi a urcat spre 0,0111 dolari, un plus de circa 16% în douăzeci și patru de ore, după ce a devenit publică decizia de închidere. Nu e optimism, ci dispariția incertitudinii, fiindcă în primele ore nimeni nu știa dacă tokenurile furate vor ajunge pe ordinele de vânzare, iar anunțul le-a scos din calcul. Un token la mai puțin de patru bani bucata, într-o rețea oprită definitiv, nu e o poveste de succes, dar are contur clar, iar piețele preferă o claritate proastă în locul ambiguității.
Întrebarea pe care o lasă în urmă un stack abandonat
Mai utilă decât cronologia e întrebarea din spatele ei. Câte dintre proiectele în care ai bani rulează pe cod pe care nu îl mai întreține nimeni? Verificarea e la îndemâna oricui, prin documentație, prin repository-ul de GitHub sau prin discuțiile de guvernanță ale proiectului original, iar data ultimului commit spune deseori mai mult decât un whitepaper întreg. La fel stă treaba cu auditurile, fiindcă unul făcut la lansare acoperă codul de la lansare, nu modulele moștenite și nici corecțiile din upstream care nu s-au mai întâmplat.
Rămâne apoi o observație despre ce nu s-a stricat. Aplicația CeDeFi, contractele inteligente și vaulturile au funcționat normal pe tot parcursul incidentului, pentru că trăiau pe alte rețele. Un proiect care își închide propriul Layer 1 și constată că partea funcțională a afacerii nu simte nimic spune, indirect, cam tot despre cât de necesar era acel Layer 1.
Informațiile de mai sus provin din analiza „BounceBit închide definitiv blockchainul propriu după un furt de 3,1 milioane de dolari„, semnată de Mihai Popa, analist și jurnalist crypto.