Hyperliquid

Eventi documentati e chiusi. Restano in scheda: il passato di un operatore è un dato, non una condanna.

1. 13 nov 2025 Hack / furto di fondi Moderato 5 Mln USD ✓ risolto

   Un operatore brucia 3 milioni di dollari propri per far perdere circa 4,9 milioni al vault HLP: muro di acquisti finto su POPCAT, cancellato di colpo, liquidazioni a catena assorbite dal fondo dei depositanti. Prelievi dal ponte sospesi per circa un'ora con il blocco d'emergenza, senza spiegazione ufficiale

   Il 13 novembre 2025 un operatore ha bruciato circa 3 milioni di dollari di capitale proprio per provocare una perdita di circa 4,9 milioni al vault HLP di Hyperliquid, il fondo condiviso dove i depositanti mettono USDC. Secondo la ricostruzione di Cointelegraph, ripresa da The Defiant, ha prelevato 3 milioni di USDC da OKX, li ha distribuiti su diciannove portafogli e ha aperto oltre 26 milioni di dollari di posizioni lunghe a leva sul token POPCAT; ha poi costruito un muro di acquisto da circa 20 milioni attorno a 0,21 dollari, dando l'apparenza di un sostegno solido al prezzo, e lo ha cancellato. Sparito il sostegno, decine di posizioni sovraesposte sono state liquidate a forza e il vault HLP se le è assorbite. Il capitale dell'attaccante è stato azzerato: a differenza di una manipolazione classica, qui non c'era un profitto da incassare, e le analisi lo leggono come un attacco diretto alla struttura del protocollo, non al portafoglio di qualcuno. Nel corso dell'episodio la piattaforma ha sospeso per circa un'ora l'elaborazione dei prelievi dal ponte, usando la funzione di blocco d'emergenza, per poi riprendere. Non è stata pubblicata nessuna dichiarazione ufficiale che colleghi quella sospensione al caso POPCAT: il fatto è riportato dalla stampa di settore, la spiegazione no. Nessun exploit del codice, nessuna chiave compromessa, nessun fondo rubato ai singoli utenti: la perdita è caduta sul fondo comune, cioè sui depositanti di HLP in proporzione alla loro quota. È lo stesso schema del marzo 2025, con un dettaglio che lo rende più scomodo: qui l'attaccante ha accettato di perdere tutto per farlo.

   ↗ fonte
2. 26 mar 2025 Hack / furto di fondi Moderato ✓ risolto

   Manipolazione del token JELLY: una posizione corta costruita per essere liquidata viene scaricata sul vault HLP, il fondo condiviso dei depositanti, che arriva a circa 12 milioni di dollari di perdita non realizzata. I validatori votano il delisting e chiudono le posizioni a un prezzo fissato da loro; la Hyper Foundation rimborsa tutti gli utenti tranne gli indirizzi segnalati. Due settimane prima lo stesso meccanismo era costato 4 milioni al vault

   Il 26 marzo 2025 il vault HLP di Hyperliquid — il fondo condiviso in cui gli utenti depositano USDC e che fa da controparte automatica alle liquidazioni sulla piattaforma — si è trovato con una perdita non realizzata di circa 12 milioni di dollari su una posizione che non aveva scelto. COME È STATA COSTRUITA. Secondo le ricostruzioni di The Block, Cointelegraph e della società di analisi Arkham, un operatore ha usato tre conti: ha depositato circa 7 milioni di dollari in pochi minuti, ha aperto due posizioni lunghe (circa 2,15 e 1,9 milioni) e una posizione corta da circa 4,1 milioni sul token JELLY (JELLYJELLY), poi ha ritirato il margine dalla posizione corta. Quella posizione, rimasta senza copertura, è stata liquidata e — per il funzionamento della piattaforma — è stata trasferita al vault HLP. A quel punto il prezzo di JELLY è stato spinto verso l'alto su più mercati, fino a moltiplicarsi per circa trecento volte in venti minuti: ogni punto di rialzo era una perdita per il vault, che si trovava corto e non poteva chiudere perché non c'era nessuno dall'altra parte. COME SI È CHIUSA, E PERCHÉ È IL PUNTO CHE CONTA. Con la perdita intorno ai 12 milioni, l'insieme dei validatori della rete ha votato di rimuovere i contratti perpetui su JELLY «per evidenza di attività di mercato sospetta», liquidando tutte le posizioni a un prezzo fissato di 0,037555 dollari — cioè vicino al prezzo a cui l'attaccante era entrato in corto, non al prezzo di mercato del momento. Per il vault il conto è passato da una perdita di 12 milioni a un utile di circa 700.000 USDC sulle 24 ore. Hyperliquid ha annunciato che «tutti gli utenti, tranne gli indirizzi segnalati, saranno risarciti dalla Hyper Foundation», automaticamente e sulla base dei dati on-chain: chi era lungo su JELLY è stato rimborsato come se la posizione si fosse chiusa a 0,037555. L'attaccante, secondo le stesse ricostruzioni, aveva già prelevato circa 6,26 milioni dei 7,17 depositati prima che i suoi prelievi venissero bloccati. NESSUN UTENTE È RIMASTO SCOPERTO, E TUTTAVIA RESTA UN FATTO DA SAPERE. Non c'è stato un exploit del codice, non sono state rubate chiavi, non è stato violato il ponte: la piattaforma ha funzionato come scritto, e proprio per questo un operatore ha potuto scaricare una posizione tossica sul fondo dove stanno i soldi dei depositanti. Quello che ha evitato la perdita non è stato un meccanismo automatico, ma una decisione umana presa in pochi minuti da un insieme ristretto di validatori, che ha delistato un mercato e scelto il prezzo di chiusura. Il dibattito che ne è seguito sulla reale decentralizzazione della piattaforma nasce da qui, e la società lo ha riconosciuto intervenendo sulle regole: tetti più stretti sul vault dei liquidatori, nuova formula per il limite di interesse aperto e un voto on-chain per il delisting degli asset sotto certe soglie. NON ERA IL PRIMO EPISODIO DELLO STESSO TIPO, DUE SETTIMANE PRIMA. Il 12 marzo 2025 un operatore aveva depositato 15,23 milioni di USDC e aperto una posizione lunga su ETH da 160.234 ETH (circa 306,85 milioni di dollari), poi aveva ritirato parte del margine facendosi liquidare: il vault HLP aveva assorbito circa 4 milioni di dollari di perdita (circa l'1% dei 451 milioni depositati) e l'operatore era uscito con 1,86 milioni di utile. Hyperliquid aveva dichiarato che «non c'è stato nessun exploit né hack» e che il motore di liquidazione «semplicemente non poteva gestire una posizione di quella dimensione», riducendo poi la leva massima a 40x sul bitcoin e 25x su ethereum. Due episodi in quindici giorni, sempre sullo stesso punto debole: la liquidazione forzata trasferita al fondo comune. IMPORTO NON QUANTIFICATO, ED È UNA SCELTA. La perdita massima esposta è stata di circa 12 milioni di dollari, ma non è mai diventata definitiva: dopo il delisting e la chiusura d'autorità il vault ha chiuso le 24 ore in utile. Scrivere 12 milioni darebbe una perdita che non c'è stata, scrivere zero cancellerebbe il rischio che il fondo dei depositanti ha effettivamente corso. Nel campo resta quindi vuoto, e l'intervallo è raccontato qui.

   ↗ fonte

verificato il 30 set 2026