Radix Engineでこれまで発見されていなかった脆弱性が見つかり、攻撃者は8月31日、所有者の承認を得ずに第三者の保管庫から約126万ドル相当の仮想通貨を引き出すことが可能になった。盗まれた資産は、26件の取引で458,915 USDC、72,420 USDT、61.08 ETH、6.35ラップドビットコイン、536.16 SOL、32.91 BNBに上ったほか、取引手数料の支払いに使われた1万3000 XRDも含まれる。 この欠陥は2023年6月のコード整理で入り込み、Zellicが2024年に実施した独立したセキュリティ監査でも特定されなかった。攻撃者は別のユーザーの保管庫を内部アドレスで参照することで、Radix Engineに必要な所有権の境界を適用させず、所有者の署名も求められないまま、通常の引き出し機能を実行できた。影響はユーザーアカウント、アプリケーション、流動性プールに及んだ。 攻撃者は資産をHyperlane経由でイーサリアム、BNBチェーン、ソラナに移動した後、売却した。事件発生から約3時間後、RadixのバリデータはネットワークがConsensusに到達し続けるのを阻止するため、十分なステークをオフラインにし、さらなる悪用を止めた。Radixは、脆弱性の修正と独立したレビューおよびテストを終え、ネットワークの復旧を進めていると説明している。既存の記録によると、修正後の9月11日にユーザー取引は再開された一方、最新のインシデント報告では復旧が続いている。