Raydium

Eventi documentati con conseguenze non ancora chiuse. Ogni voce ha fonte e data.

1. 16 dic 2022 Hack / furto di fondi Grave 4 Mln USD ✓ risolto

   Chiave dell'account amministratore delle pool compromessa: otto pool svuotate per circa 4,4 milioni di dollari. Nessuna falla nei contratti — era l'autorità del Pool Owner. Compensazione eseguita davvero: portale di claim aperto fino al 14 maggio 2023, 100% del capitale restituito su tre pool e 90% sulle altre sei

   Il 16 dicembre 2022 alle 10:12 UTC un attaccante ha iniziato a prelevare liquidità da Raydium usando l'account **Pool Owner (admin)** del programma Liquidity Pool V4. Il punto tecnico, e Raydium lo scrive nel proprio post-mortem, è che **non c'era alcuna vulnerabilità nei contratti**: l'attaccante aveva in mano la chiave privata dell'autorità amministrativa, verosimilmente per un malware di tipo trojan sulla macchina che la deteneva. Con quella chiave ha richiamato una funzione di prelievo delle commissioni e ha svuotato **otto pool a prodotto costante** per circa **4,4 milioni di dollari** complessivi, in RAY, stSOL, whETH, USDC, SOL, UXP, ZBC e USDT. Gli sviluppatori hanno distribuito una patch nel giro di poche ore, bloccando la possibilità di toccare le altre pool. Il tentativo di recupero è fallito: Raydium ha offerto pubblicamente una taglia del 10% più il saldo in RAY sottratto, e l'attaccante non ha restituito nulla. A quel punto il protocollo ha fatto l'unica cosa che restava, e l'ha portata a termine: la governance ha autorizzato l'uso dei ricavi destinati al buyback e di allocazioni di token del team per rimborsare i fornitori di liquidità, su uno snapshot dei saldi LP scattato al momento dell'exploit. Il **portale di claim** è rimasto aperto fino al **14 maggio 2023 alle 23:59 UTC** e ha restituito il **100% del capitale** perso su RAY-USDC, RAY-SOL e RAY-USDT, e il **90%** su SOL-USDC, SOL-USDT, stSOL-USDC, ETH-USDC, UXP-USDC e ZBC-USDC. Quanto non reclamato è tornato al Buyback Treasury. Detto con precisione, perché la differenza conta: non è una promessa di rimborso, è un rimborso avvenuto e chiuso — ma non integrale per tutti, sei pool su nove hanno recuperato nove decimi.

   ↗ fonte
2. 10 giu 2026 Hack / furto di fondi Moderato 1 Mln USD ● aperto

   Cinque pool del vecchio programma AMM V3, dismesso nel 2021 ma mai spento, svuotate per 1,34 milioni di dollari con un token LP falso da una unità. Raydium si è impegnata a coprire tutto con la tesoreria: a oggi è un impegno dichiarato, non un rimborso verificato

   Il 10 giugno 2026 un attaccante ha prelevato **1,34 milioni di dollari** — 150.177 RAY, 5.603 SOL e 893.700 USDC — da **cinque pool** del programma **AMM V3**, la versione dell'automated market maker che Raydium aveva **dismesso nel 2021**. Fra le pool colpite RAY-SOL e USDC-RAY. Il difetto è di una semplicità che spiega perché nove anni di audit non bastano se il codice vecchio resta vivo: in fase di prelievo il programma legacy verificava la *quantità* di token LP ma **non l'indirizzo del mint** da cui provenivano. L'attaccante ha creato un mint SPL qualunque, senza alcun legame con una pool reale, ne ha emesso **una singola unità** e ha chiamato la funzione di prelievo del contratto vecchio, aggirando i controlli di proporzione e portandosi via l'intera liquidità. Nessuna chiave compromessa, nessun contratto attuale toccato. L'account ufficiale Raydium Infra ha riconosciuto il fatto lo stesso giorno: «Raydium è a conoscenza di un exploit che coinvolge la rimozione non autorizzata di liquidità dal suo programma legacy AMM V3, già dismesso nel 2021. Nessun utente attuale di Raydium è colpito da questo exploit, né avrebbe potuto interagire con queste pool attraverso l'interfaccia». La società ha dichiarato che **la tesoreria coprirà integralmente** le perdite dei fornitori di liquidità rimasti in quelle pool, e ha avviato una revisione di sicurezza. ⚠️ Qui sta il punto che tiene l'incidente aperto: a quattro mesi di distanza **nessuna fonte, Raydium compresa, ha pubblicato la conferma che i rimborsi siano stati effettivamente erogati** — non è stato comunicato alcun calendario al momento dell'annuncio. Vale la regola di sempre: una promessa di rimborso non è un rimborso, e finché la restituzione non è dichiarata al passato l'incidente resta non risolto. Il precedente del 2022, dove Raydium ha invece portato a termine la compensazione, gioca a favore ma non sostituisce la verifica.

   ↗ fonte

verificato il 2 ott 2026