L’hack stablecoin StablR ha colpito due asset pensati per restare ancorati al loro valore di riferimento e ha aperto, in poche ore, due fronti distinti: sicurezza tecnica e conformità regolatoria. Dopo il cyberattacco, l’emittente europeo ha sospeso i servizi di minting e rimborso per USDR ed EURR, lasciando i token senza copertura piena.
Il punto più delicato riguarda il rispetto del rapporto di backing 1:1 richiesto dal regolamento europeo Markets in Crypto-Assets (MiCA). Secondo StablR, USDR ed EURR non rispettano più quel requisito. L’incidente, quindi, non ha solo scosso la fiducia del mercato: ha inciso sulla struttura stessa che sostiene una stablecoin regolamentata.
La reazione è arrivata subito. I due token hanno perso temporaneamente fino al 50% del peg, mentre la società ha chiesto agli exchange di fermare trading, depositi e prelievi durante le verifiche sul breach. In un caso come questo, l’impatto del hack sul mercato va oltre il prezzo: tocca la credibilità del modello.
Summary
StablR blocca USDR ed EURR dopo il cyberattacco
StablR ha congelato le operazioni su USDR ed EURR dopo il cyberattacco, sospendendo minting e redemption per entrambe le stablecoin. La società sta indagando sull’accaduto e ha esteso le misure d’emergenza chiedendo agli exchange di interrompere anche trading, depositi e withdrawal. È un vero freezer d’emergenza StablR USDR, il passaggio più drastico per contenere gli effetti dell’attacco.
L’episodio è emerso anche grazie all’investigatore onchain ZachXBT, che aveva segnalato la possibile compromissione di due contratti collegati alle stablecoin di StablR. Il segnale ha anticipato la conferma di una crisi che, in questa fase, riguarda tanto la sicurezza quanto la gestione operativa.
Per un emittente di stablecoin, fermare minting e redemption significa bloccare il meccanismo che tiene in piedi la promessa di convertibilità. È il punto più delicato, perché senza quel passaggio la stablecoin perde il suo ancoraggio funzionale prima ancora che psicologico.
Secondo i dati citati da CoinGecko, USDR ha una market cap di 20 milioni di dollari, mentre EURR si attesta a 10 milioni di dollari. Non si tratta di cifre enormi rispetto ai colossi del settore, ma bastano a rendere il caso un test concreto per il mercato europeo e per il quadro MiCA.
Come avrebbe funzionato l’exploit su StablR
Al centro dell’attacco c’è una presunta debolezza in un wallet multisignature configurato con soglia 1-of-3, secondo GoPlus. In pratica, sarebbe bastata una sola chiave autorizzata per approvare operazioni. È il tipo di fragilità che rende più esposto il sistema e che alimenta il dibattito su rischio e sicurezza stablecoin.
I ricercatori citati nel report sostengono che gli attaccanti abbiano compromesso una chiave, si siano aggiunti come amministratori e abbiano poi rimosso i firmatari legittimi. Da lì avrebbero creato nuova offerta senza copertura: circa 8,35 milioni di USDR e 4,5 milioni di EURR, per un totale di circa 13,5 milioni di dollari in token non garantiti.
Dopo aver scaricato sul mercato la nuova supply, gli attaccanti avrebbero incassato circa 2,8 milioni di dollari. Questo è il cuore economico dell’hack stablecoin StablR: non una semplice sottrazione di fondi già esistenti, ma la creazione di token senza riserva corrispondente.
Peg sotto pressione e impatto sul mercato
Subito dopo il breach, USDR ed EURR hanno perso fino al 50% del loro peg. In seguito hanno mostrato segnali di recupero parziale, ma in modo molto diverso: USDR è indicato a 0,994 dollari, mentre EURR resta molto più indietro, a 0,548. Il quadro conferma una forte USDR ed EURR peg loss nelle fasi più acute dell’incidente.
La distanza tra i due token racconta molto. Quando una stablecoin perde la piena convertibilità, il prezzo di mercato non riflette più solo domanda e offerta. Diventa anche una misura istantanea della fiducia residua nella capacità dell’emittente di ricostruire la copertura. Per questo il caso riguarda anche la EURR peg recovery e volatilità, oltre alla tenuta generale dell’ecosistema.
Un altro elemento decisivo è stata la liquidità limitata sugli exchange decentralizzati. Proprio questa scarsa profondità di mercato avrebbe ridotto l’incasso effettivo degli attaccanti a circa 2,8 milioni di dollari, nonostante i 13,5 milioni di token emessi senza backing.
- circa 13,5 milioni di dollari in token senza copertura creati dagli attaccanti
- circa 2,8 milioni di dollari incassati dopo la vendita sul mercato
- peg perso fino al 50% per USDR ed EURR nelle fasi più acute
MiCA, copertura 1:1 e ricadute regolatorie
StablR ha riconosciuto che la supply circolante di USDR ed EURR “non è attualmente pienamente coperta” nel rapporto 1:1 richiesto da MiCA. È il passaggio più pesante dell’intera vicenda, perché sposta il caso dal terreno della sicurezza a quello della compliance e della violazione MiCA e freeze.
Il regolamento europeo pretende che una stablecoin mantenga una copertura piena e verificabile. Quando questa condizione viene meno, il problema non è solo reputazionale: diventa regolatorio, operativo e potenzialmente sistemico per la credibilità dell’emittente. In questo senso, il caso rappresenta anche un test MiCA stablecoin StablR.
La società ha fatto sapere che intende notificare l’accaduto alla Malta Financial Services Authority, l’autorità finanziaria di Malta, nell’ambito delle regole di segnalazione previste da MiCA e dal Digital Operational Resilience Act. Nel frattempo sono coinvolte anche società esterne di cybersecurity e le forze dell’ordine.
Perché conta anche fuori da StablR? Perché questo episodio diventa uno stress test reale per il modello europeo delle stablecoin regolamentate. Se la cornice MiCA nasce per aumentare fiducia e trasparenza, casi come questo mostrano che la conformità formale non basta senza una sicurezza operativa all’altezza.
Un caso che mette sotto esame sicurezza e fiducia
L’hack stablecoin StablR arriva in un momento in cui il mercato guarda con attenzione crescente agli emittenti europei. Qui il danno non si misura solo nei milioni creati senza copertura, ma nella velocità con cui un problema tecnico può trasformarsi in una violazione del requisito base di una stablecoin: l’ancoraggio garantito da riserve equivalenti.
Il fatto che USDR ed EURR siano diventati sottocollateralizzati rende la crisi più profonda di un normale exploit. Significa che la promessa di riscatto integrale non è più pienamente sostenuta, almeno allo stato attuale descritto dalla società.
Gijs op de Weegh, Chief Executive Officer di StablR, ha detto che la società sta agendo “with full transparency” mentre proseguono le indagini. Ma il nodo ora non è soltanto ricostruire la dinamica dell’attacco. È capire se, e con quale velocità, USDR ed EURR potranno tornare a essere percepiti come stablecoin davvero stabili.
