Blocul 20.697.260 a fost scris pe rețeaua BounceBit la 21:02:35 UTC, în seara de 19 august 2026. Un bloc absolut obișnuit. Câteva secunde mai târziu, o tranzacție pe care rețeaua a considerat-o perfect validă a scos primul lot de tokenuri BB dintr-un cont care nu ceruse nimănui așa ceva. Au urmat încă treisprezece, răsfirate pe aproape cinci ore. Când producția de blocuri s-a oprit, la 02:36:37 UTC, din nouă conturi de mainnet lipseau aproximativ 286,5 milioane de tokenuri BB, în jur de 3,1 milioane de dolari la prețul din acel moment.
Două zile mai târziu a venit anunțul care a surprins pe toată lumea. Rețeaua nu va fi reparată. Va fi închisă.
Proporția dintre pagubă și reacție e ceea ce face cazul interesant. Trei milioane de dolari înseamnă un incident mediu în crypto, iar istoria ultimilor ani e plină de rețele care au încasat lovituri de o sută de ori mai mari și au funcționat mai departe a doua zi. Ronin a pierdut 625 de milioane de dolari în martie 2022 și există și acum. BNB Chain a fost atacată în octombrie 2022 pentru aproape 570 de milioane și a repornit în câteva ore. BounceBit a ales altceva, iar explicația nu ține de mărimea pagubei.
Cum a trecut atacatorul pe lângă verificarea de permisiune?
Detaliul care schimbă complet natura poveștii e că nu s-a furat nicio cheie privată. Niciun portofel spart, niciun dispozitiv hardware compromis, niciun utilizator păcălit să semneze ceva. Conturile golite aveau cheile intacte tot timpul, iar proprietarii lor nu ar fi putut face nimic ca să prevină ce s-a întâmplat.
Ce a exploatat atacatorul e o eroare în regulile prin care rețeaua însăși stabilea cine are voie să miște banii cui. Denumirea tehnică e vulnerabilitate de autorizare la nivel de protocol. Într-o comparație mai apropiată de viața de zi cu zi, e ca un ghișeu unde formularul de transfer are două rubrici, plătitorul și beneficiarul, iar funcționarul chiar verifică semnătura, doar că o compară cu rubrica greșită. Nimeni nu falsifică nimic. Controlul pur și simplu se uită în altă parte.
BounceBit Chain rula pe stack-ul Evmos, o soluție prefabricată din ecosistemul Cosmos care permite unei rețele proprii să execute contracte compatibile cu Ethereum. Particularitatea acestui stack e că lasă smart contractele să apeleze direct module native ale protocolului, adică funcții scrise adânc în codul rețelei, nu în contractul în sine. Unul dintre aceste module se ocupă de conturile cu vesting și lockup, iar acolo a fost fisura.
Ce e, mai exact, un cont cu vesting?
Vestingul e mecanismul prin care un proiect eliberează tokenuri în tranșe, nu toate deodată. Cine primește o parte din compensație în tokenuri nu le poate vinde a doua zi, pentru că se deblochează lună de lună. Seamănă destul de bine cu prima de fidelitate dintr-un contract negociat pe termen lung sau cu acțiunile pe care angajații unei companii listate le primesc eșalonat. Logica e că cine pleacă după trei luni nu pleacă și cu tot pachetul.
Modulul care gestionează astfel de conturi are o singură obligație elementară. Contul care finanțează transferul, cel de unde pleacă efectiv banii, poate fi debitat doar după ce a autorizat el însuși operațiunea. Pe traseul care trecea prin smart contract, legătura asta s-a rupt. Verificarea de permisiune a rulat, însă pe alt cont decât cel care plătea. Așa a putut atacatorul să indice drept sursă a fondurilor conturi care nu îi aparțineau, iar rețeaua a executat cuminte instrucțiunea, convinsă că totul e în regulă. Reconstituirea tehnică publicată de BeInCrypto descrie exact acest lanț de decizii.
Diferența față de un furt clasic e majoră. Când îți fură cineva cheia privată, problema e a ta și se oprește la portofelul tău. Când cedează regula de autorizare a rețelei, problema e a tuturor conturilor simultan, iar prudența individuală nu mai contează. Cine își ținea BB pe un hardware wallet și nu semnase nimic dubios de luni de zile era la fel de expus ca oricine altcineva.
Cinci ore de atac și patruzeci și două de minute până la oprire
Cronologia publicată de echipă arată un atacator răbdător. Prima tranzacție neautorizată a plecat la 21:02 UTC pe 19 august, ultima la 01:54 UTC pe 20 august. Paisprezece operațiuni, nouă conturi, aproape cinci ore. Producția de blocuri a fost oprită la 02:36:37 UTC, la aproximativ patruzeci și două de minute după ultima mișcare, iar din acel moment nu a mai plecat nimic.
Cifra asta capătă sens doar prin comparație. La Ronin Network, furtul de 625 de milioane de dolari din martie 2022 a fost descoperit după șase zile, când un utilizator nu a reușit să retragă cinci mii de ETH. La BNB Chain, în octombrie 2022, validatorii au oprit rețeaua în câteva ore și au reușit să blocheze cea mai mare parte din cele aproape 570 de milioane de dolari create prin exploatarea podului cross-chain. Patruzeci și două de minute e, prin urmare, o reacție bună raportat la media industriei și una lentă raportat la ideea că transferurile masive dintr-un cont cu vesting ar trebui să declanșeze o alarmă automată.
Destinația fondurilor spune și ea ceva despre cine e în spate. Aproximativ 254 de milioane de tokenuri BB au ajuns la un exchange mare, alte zece milioane la un al doilea exchange, iar restul, undeva la 18,5 milioane, au rămas într-o adresă de consolidare. Nu s-a folosit niciun mixer, niciun pod cross-chain, nicio tehnică de spălare. Totul a mers direct spre platforme care cer verificare de identitate, ceea ce sugerează fie neglijență, fie pariul că suma e prea mică pentru a merita o anchetă serioasă, fie conturi pregătite din timp.
Echipa a trimis cereri de înghețare către exchange-uri, cu o excepție care merită reținută. Adresele cu fonduri amestecate, unde banii altor utilizatori stau laolaltă cu cei suspecți, nu au fost vizate. E o alegere corectă etic și, în același timp, o recunoaștere implicită că o parte din tokenuri nu se va mai recupera niciodată.
De ce nu s-a mai putut repara rețeaua?
Reacția standard după un asemenea incident e previzibilă. Scrii un patch, convingi validatorii să îl instaleze, repornești lanțul. BounceBit spune că nu avea această variantă la dispoziție, iar motivul e mai banal decât te-ai aștepta. Furnizorul fundației dispăruse.
Evmos, stack-ul pe care era construită rețeaua, s-a închis în mai 2026. Nu s-a stins discret, ci printr-un vot formal. Propunerea de guvernanță numărul 331, intitulată chiar Evmos Shutdown, a trecut cu 99,8% dintre voturi, nodurile s-au oprit la blocul 37.318.000 în jurul datei de 18 mai, iar site-ul oficial și block explorerul au devenit inaccesibile. Valoarea blocată în rețea coborâse deja la zero.
Nici Evmos nu a fost un caz izolat. Ecosistemul Cosmos a trecut printr-un val de închideri care a înghițit proiecte precum Comdex, Kujira, Picasso, Quasar și Stride, aproape toate din aceleași motive lipsite de dramatism: prea puțini utilizatori, venituri insuficiente, dezvoltare în scădere. Un stack tehnic bun nu supraviețuiește dacă echipa care îl întreține nu mai are din ce trăi.
Când producătorul structurii dă faliment?
Cea mai bună comparație vine din construcții. Îți ridici casa pe un sistem prefabricat cumpărat de la un producător serios și câțiva ani totul merge impecabil. Apoi producătorul intră în faliment, fabrica se închide, documentația nu mai e actualizată de nimeni. Casa stă în picioare în continuare. Problema apare în ziua cu prima fisură structurală, când nu mai ai de unde cumpăra piesa potrivită și nu mai există nimeni pe care să îl suni ca să îți confirme dacă reparația improvizată ține.
Formularea echipei merge fix în direcția asta. Mutarea fork-ului propriu pe un cod succesor nu ar fi fost o actualizare obișnuită, ci o replatformare care presupunea rescriere completă, audit nou și revalidare integrală înainte ca rețeaua să poată purta din nou active reale.
Peste argumentul tehnic vine unul de afaceri, formulat destul de rece. Majoritatea produselor și a utilizatorilor BounceBit funcționau deja pe BNB Chain, iar menținerea unui Layer 1 separat nu mai era, în cuvintele echipei citate de The Block, cea mai eficientă cale de a-i servi. O rețea proprie consumă bani, validatori, audituri periodice și o echipă de infrastructură care nu produce direct niciun venit.
Ce se întâmplă cu tokenurile deținătorilor?
Partea practică e, paradoxal, cea mai puțin dramatică din tot cazul. BB se reemite ca token BEP-20 pe BNB Chain, iar soldurile se calculează după un snapshot al stării rețelei la blocul 20.697.260, înregistrat la 21:02:35 UTC pe 19 august, adică imediat înaintea primei tranzacții neautorizate.
Consecința e directă. Cele 286,5 milioane de tokenuri mutate de atacator nu ajung în noul contract și nu vor exista în noua emisiune. Din perspectiva contabilității tokenului reemis, atacul pur și simplu nu s-a întâmplat.
Snapshotul explicat prin extrasul de cont
Un snapshot e echivalentul unui extras de cont emis la o oră fixă, simultan pentru toți clienții unei bănci. Ce scrie acolo devine adevărul oficial. Dacă la 21:02:35 aveai patru mii de tokenuri BB în portofel, primești patru mii de tokenuri în versiunea nouă, indiferent ce s-a întâmplat pe lanțul vechi în orele următoare.
Mecanismul nu e o invenție a acestui caz. Terra a folosit exact aceeași logică în mai 2022, după prăbușirea UST, când rețeaua a fost oprită și noul lanț a distribuit tokenuri pe baza unor fotografii ale soldurilor luate înainte și după colaps. Ethereum a mers și mai departe în 2016, când comunitatea a votat un hard fork care a rescris efectiv istoria rețelei ca să anuleze furtul celor aproximativ 3,6 milioane de ETH din The DAO, decizie care a rupt ecosistemul în două și a dat naștere Ethereum Classic. Comparativ cu acele episoade, BounceBit face ceva mai simplu, pentru că nu rescrie nimic. Abandonează lanțul vechi și repornește contabilitatea în altă parte.
Deținătorii nu trebuie să facă nicio operațiune manuală și nu trebuie să depună nicio cerere, iar echipa a avertizat public asupra valului de escroci care apare mereu în astfel de momente. Regula rămâne cea știută. Nimeni care are nevoie de fraza ta seed sau de o semnătură într-un contract necunoscut nu te ajută să îți recuperezi tokenurile.
Pentru cine ținea BB pe un exchange, procesul e și mai simplu, cel puțin teoretic. Platformele reconciliază soldurile pe partea lor și utilizatorul vede la un moment dat același număr de tokenuri, doar pe altă rețea. Migrarea Fantom către Sonic, începută în decembrie 2024, a arătat cum funcționează asta la scară mare, cu conversie unu la unu făcută automat de exchange-uri pentru clienții lor. A durat însă luni bune până s-a încheiat peste tot, iar acolo vorbim despre o migrare planificată din timp, nu despre una declanșată de un atac.
Ce lipsește deocamdată e calendarul. Adresa noului contract, lista platformelor care susțin migrarea și data la care lanțul vechi devine complet irelevant urmau să apară într-un plan detaliat de tranziție. Până atunci, orice BB tranzacționat în afara unui exchange care a confirmat public susținerea migrării e un risc pe care nu merită să ți-l asumi.
Precedente care ajută la calibrarea cazului
Închiderea completă a unui blockchain rămâne rară. Mult mai des vezi protocoale care se opresc, rețele puse pe pauză sau reveniri la o stare anterioară, iar diferența dintre aceste scenarii contează enorm pentru cine are bani înăuntru.
Cel mai bun deznodământ pentru utilizatori apare atunci când există cineva cu buzunarul suficient de adânc încât să acopere gaura. La Wormhole, în februarie 2022, cele 120.000 de wETH furate, în jur de 320 de milioane de dolari, au fost înlocuite în mai puțin de o zi de Jump Crypto, iar utilizatorii nu au simțit nimic. La BNB Chain, oprirea rapidă a rețelei a blocat majoritatea fondurilor înainte să iasă din ecosistem.
Cel mai prost deznodământ arată complet diferit. Multichain, un protocol de bridging care avea peste un miliard de dolari în active la apogeu, a rămas fără echipă în vara lui 2023, după ce fondatorul a fost reținut în China. Fondurile au început să se scurgă din contracte fără ca cineva să poată interveni, iar utilizatorii au rămas cu tokenuri împachetate care nu mai aveau nimic în spate. Nu a existat niciun snapshot, niciun plan de migrare, niciun anunț. Diferența față de cazul BounceBit e că aici echipa a rămas la masă și a comunicat un plan în mai puțin de patruzeci și opt de ore.
Undeva la mijloc stau migrările ordonate, gen Fantom către Sonic, unde tranziția a fost anunțată cu luni înainte, testată public și susținută de exchange-uri, iar rețeaua veche a rămas funcțională mult timp după lansarea celei noi. BounceBit face aceeași mișcare, doar că sub presiune și fără plasă de siguranță.
Cine e BounceBit și cine a pus banii?
Proiectul a apărut la începutul lui 2024 cu o propunere care suna bine în contextul de atunci. Bitcoin stătea nemișcat în portofele, restakingul era tema momentului, iar BounceBit a construit un mecanism prin care BTC de pe lanțul nativ sau versiuni împachetate precum BTCB de pe BNB Chain și WBTC de pe Ethereum puteau fi aduse în ecosistemul propriu sub forma BBTC și puse să producă randament.
Modelul a fost etichetat CeDeFi, un hibrid între custodia centralizată și mecanismele descentralizate. Ulterior a apărut și componenta de active reale tokenizate, plus planuri pentru acțiuni tokenizate din Statele Unite, Europa, Hong Kong și Japonia.
Banii au venit dintr-o rundă seed de șase milioane de dolari în 2024, co-condusă de Blockchain Capital și Breyer Capital, potrivit The Block. În aprilie 2024 a intrat în acționariat și fondul care avea să apară în aproape toate titlurile despre acest incident.
YZi Labs e numele actual al entității cunoscute anterior drept Binance Labs. Rebrandingul s-a produs în ianuarie 2025, când brațul de investiții al Binance a devenit vehiculul care administrează averea lui Changpeng Zhao și a cofondatoarei Yi He, cu aproximativ zece miliarde de dolari în active legate de crypto. Prezența unui nume greu în cap tabel nu garantează securitatea codului, lucru pe care cazul de față îl demonstrează fără prea mult efort. Explică însă de ce destinația migrării e tocmai BNB Chain și nu altceva.
Cum a reacționat piața?
Prețul s-a mișcat contraintuitiv, ceea ce în crypto se întâmplă mai des decât ar fi confortabil. BB a atins un minim istoric de 0,0079 dolari pe 20 august, în plin incident, iar apoi a urcat spre 0,0111 dolari, un plus de aproximativ 16% în douăzeci și patru de ore, după anunțul închiderii lanțului.
Nu e optimism, ci dispariția incertitudinii. În primele ore nimeni nu știa dacă cele 286,5 milioane de tokenuri furate vor ajunge pe ordinele de vânzare și nici dacă urmează vreo diluție suplimentară. Anunțul că tokenurile atacatorului nu trec în noua emisiune a răspuns fix la întrebarea asta. Un token la mai puțin de patru bani bucata, într-o rețea oprită definitiv, nu e o poveste de succes, dar e o poveste cu contur clar, iar piețele preferă o claritate proastă în locul ambiguității.
Ce înseamnă asta pentru un deținător din România?
Cele 3,1 milioane de dolari furate înseamnă undeva în jurul a 14 milioane de lei, la un curs de circa 4,5 lei pentru un dolar. Bugetul anual al unei comune mari, dispărut într-o noapte, dintr-o eroare de logică într-un modul de cod pe care nu îl mai întreținea nimeni de câteva luni.
Cine deține BB are de verificat mai întâi unde stau efectiv tokenurile. Dacă sunt pe un exchange care a comunicat public că susține migrarea, nu e nimic de făcut în afară de urmărirea anunțurilor platformei. Dacă sunt într-un portofel autocustodial pe rețeaua veche, singura sursă care contează e canalul oficial al proiectului, nu grupurile de Telegram unde apar peste noapte administratori binevoitori cu linkuri de conectare a portofelului.
Evidența și partea fiscală
Aici e mai onest să recunosc limitele decât să dau un răspuns categoric. Reemiterea unui token pe altă rețea, unu la unu și fără nicio acțiune din partea deținătorului, nu seamănă economic cu o vânzare. Nu ai încasat nimic, nu ai schimbat un activ pe altul, nu ai realizat niciun câștig, deci în logica impozitării câștigurilor din transferul de monedă virtuală ar trebui să fie un eveniment neutru.
Legislația română nu tratează însă explicit migrările tehnice de acest tip, iar practica administrativă e departe de a fi bogată. Ce poți face concret e să păstrezi dovezi, adică soldul de dinainte de snapshot, extrasul de tranzacții de pe exchange, anunțul oficial și data la care ți-au intrat tokenurile noi. Zece minute acum te scutesc de o discuție neplăcută peste doi ani, când vei încerca să reconstitui prețul de achiziție pentru declarația unică. Pentru sume mari sau pentru situații cu mai multe poziții deschise, o discuție cu un contabil obișnuit cu activele digitale rămâne varianta rezonabilă.
Întrebarea pe care o ridică orice stack abandonat
Mai utilă decât cronologia incidentului e întrebarea din spatele lui. Câte dintre proiectele în care ai bani rulează pe cod pe care nu îl mai întreține nimeni?
Nu e o întrebare retorică și nici greu de verificat. Un proiect serios spune public pe ce stack e construit, iar dacă e vorba de un fork al unui stack abandonat, informația se găsește în documentație, în repository-ul de GitHub sau în discuțiile de guvernanță ale proiectului original. Data ultimului commit spune deseori mai mult decât zece pagini de whitepaper. Când ultima modificare are un an și jumătate, iar comunicarea oficială vorbește în continuare despre inovație, distanța dintre discurs și realitate merită măsurată.
A doua verificare privește auditurile. Un audit făcut la lansare acoperă codul de la lansare. Nu acoperă modulele moștenite din stack-ul de bază, nu acoperă interacțiunile apărute ulterior între contracte și module native și mai ales nu acoperă corecțiile din upstream care nu s-au mai întâmplat pentru că upstream-ul a dispărut. Vulnerabilitatea BounceBit stătea exact în acest spațiu gri, la joncțiunea dintre cod propriu și cod moștenit, adică fix locul pe care rapoartele de audit îl tratează cel mai superficial.
Tiparul mai larg e cunoscut de oricine a urmărit ciclul din 2023 și 2024. S-au lansat atunci foarte multe rețele proprii, multe dintre ele pentru că un Layer 1 suna mai bine în discuțiile cu investitorii decât un contract deployat pe o rețea existentă. Costul real al alegerii, întreținerea perpetuă a unei infrastructuri de bază, se plătește mult mai târziu și aproape mereu în momentul cel mai prost.
Ce rămâne de urmărit?
Trei lucruri decid dacă tranziția va fi văzută ca o gestionare corectă a unei crize sau ca o ieșire ordonată dintr-un proiect care își pierduse deja tracțiunea. Contează, întâi, publicarea adresei contractului BEP-20 și verificarea ei prin mai multe canale oficiale, nu doar printr-o postare care poate fi clonată în cinci minute de oricine. Contează apoi reconcilierea de partea exchange-urilor, unde se află probabil cea mai mare parte a soldurilor deținute de utilizatori obișnuiți. Și contează ce se întâmplă cu cele 254 de milioane de tokenuri ajunse la platforma mare, unde există cel puțin teoretic șansa unei identificări.
Peste toate astea rămâne o observație despre ce nu s-a stricat. Aplicația CeDeFi, contractele inteligente și vaulturile au funcționat normal pe tot parcursul incidentului, pentru că trăiau pe alte rețele. Un proiect care își închide propriul Layer 1 și constată că partea funcțională a afacerii nu simte absolut nimic spune, indirect, cam tot ce e de spus despre cât de necesar era acel Layer 1 de la bun început.
Întrebări frecvente despre închiderea BounceBit Chain
Între 19 și 20 august 2026, un atacator a exploatat o vulnerabilitate de autorizare la nivel de protocol, moștenită din stack-ul Evmos, și a mutat aproximativ 286,5 milioane de tokenuri BB din nouă conturi de mainnet, prin paisprezece tranzacții. Echipa a oprit producția de blocuri la 02:36:37 UTC pe 20 august și, după o analiză tehnică, a anunțat pe 21 august închiderea definitivă a rețelei, cu reemiterea tokenului pe BNB Chain.
Nu. Echipa a confirmat că nu au fost compromise chei private, portofele, semnături sau dispozitive hardware. Defectul era în regulile prin care rețeaua verifica dreptul de a debita un cont, ceea ce înseamnă că niciun utilizator nu ar fi putut preveni incidentul prin măsuri proprii de securitate.
Nu, dacă erai deținător legitim înainte de atac. Soldurile se reemit ca token BEP-20 pe BNB Chain, pe baza unui snapshot la blocul 20.697.260, luat imediat înaintea primei tranzacții neautorizate. Cele 286,5 milioane de tokenuri mutate de atacator nu intră în noua emisiune.
Nu e necesară nicio cerere și nicio operațiune manuală. Cine ține BB pe un exchange trebuie doar să urmărească anunțurile platformei, iar cine îl ține în portofel propriu trebuie să aștepte publicarea adresei oficiale a contractului. Orice mesaj care cere fraza seed sau o semnătură pentru a ajuta cu migrarea e o tentativă de fraudă.
Pentru că Evmos, stack-ul pe care era construit, s-a închis în mai 2026 printr-un vot de guvernanță trecut cu 99,8%. Fără un upstream activ, mutarea fork-ului pe un cod succesor ar fi însemnat rescriere completă, audit nou și revalidare integrală. În plus, majoritatea produselor și a utilizatorilor erau deja pe BNB Chain, deci un Layer 1 separat devenise greu de justificat.
Un snapshot e o fotografie a tuturor soldurilor din rețea la un moment fix, echivalentul unui extras de cont emis simultan pentru toți clienții unei bănci. Ora contează pentru că momentul ales, 21:02:35 UTC pe 19 august, e anterior primei mișcări a atacatorului, deci transferurile neautorizate nu apar în noile solduri.
Nu vor exista în noul contract, deci devin lipsite de valoare. BounceBit a trimis cereri de înghețare către exchange-uri, evitând adresele cu fonduri amestecate, unde ar fi fost afectați și utilizatori nevinovați.
Nu. Legătura e indirectă și vine prin YZi Labs, unul dintre investitori, care e entitatea rezultată din rebrandingul Binance Labs în ianuarie 2025 și administrează averea cofondatorilor Binance. Asta explică parțial alegerea BNB Chain pentru migrare, dar nu înseamnă că proiectul e operat de exchange.
Reemiterea unu la unu, fără nicio acțiune din partea deținătorului, nu produce un câștig, deci ar trebui să fie neutră din punct de vedere fiscal. Legislația nu tratează însă explicit acest tip de migrare tehnică, așa că varianta prudentă e păstrarea dovezilor privind soldul dinaintea snapshotului și data primirii tokenurilor noi, plus o discuție cu un contabil pentru sume importante.
