Contratti sostituiti: come un falso clone di un noto protocollo DeFi ha sottratto 10,8 milioni di dollari (Compounder Finance)

Compounder Finance si mimetizzava da clone di protocolli DeFi già collaudati e affidabili: Compound, Harvest e Yearn. Gli sviluppatori misero inizialmente a disposizione contratti sottoposti ad audit, conquistando così la fiducia degli utenti, per poi sostituirli di nascosto con versioni occultamente malevole e prosciugare 10,8 milioni di dollari di fondi degli utenti. Il caso è diventato una delle dimostrazioni più eloquenti del fatto che nemmeno un audit superato garantisce nel tempo la sicurezza di uno smart contract.

Il progetto fu lanciato il 9 novembre 2020 e si presentò come aggregatore di rendimenti sul modello di protocolli già noti e collaudati: Compound, Harvest Finance e Yearn Finance. Alla base della piattaforma c'erano i cosiddetti contratti «strategy», che avevano superato un audit della società Solidity Finance: circostanza usata pubblicamente come prova della sicurezza della piattaforma e che spinse gli utenti a depositare denaro.

Nel codice era però prevista una funzione, protetta da un timelock di ventiquattro ore pubblico ma di fatto non sorvegliato da nessuno, che consentiva agli sviluppatori di sostituire in qualsiasi momento i contratti «strategy» legittimi e sottoposti ad audit con versioni malevole, le cosiddette «evil strategy», in grado di prosciugare i fondi depositati dagli utenti. L'auditor Solidity Finance si era accorto della sospetta funzione di timelock già a metà novembre e ne aveva informato il team di sviluppo, ma non fu adottata alcuna misura correttiva.

Il 1° dicembre 2020, circa tre settimane dopo il lancio, quando sulla piattaforma si era accumulata una somma sufficiente, gli sviluppatori attivarono la sostituzione dei contratti e dirottarono i depositi degli utenti verso wallet propri: circa 750.000 dollari in Wrapped Bitcoin, 4,8 milioni di dollari in Ether, 5 milioni di dollari in Dai e importi minori in altri token, per un totale di 10,8 milioni di dollari. Il token del progetto, CP3R, crollò lo stesso giorno di circa il 98,8%.

Gli sviluppatori sono scomparsi nell'anonimato: nessun membro del team è mai stato identificato, non è stato avviato alcun procedimento penale e non risulta documentata alcuna restituzione di fondi agli utenti.

Pubblicato il 22 giugno 2026