Атакующий воспользовался обходом проверки подписи в офчейн-индексаторе Kasplex KRC-20, чтобы перевести 186 миллионов ZEAL и 54,398 миллиарда NACHO, не имея приватного ключа для кошелька-кастодиана моста. По данным ChainCatcher, токены были отчеканены через пять поддельных транзакций на EVM-слое Igra Labs и Kasplex L2, прежде чем их продали в пулы ликвидности Zealous Swap, что привело к потерям на стороне KAS от 94% до 99,6% в затронутых пулах.

Игpa приостановила выводы iKAS в Kaspa L1 и переводы через Hyperlane, а также предупредила пользователей не мостить токены KRC-20, не покупать ZEAL или NACHO на DEX в L2 и не добавлять ликвидность в соответствующие пулы. Консенсус Kaspa L1 и немостованные активы Igra не пострадали, тогда как Zealous Swap заявила, что операторам нужно исправить индексатор, переиндексировать исторические записи и отклонять транзакции с пустыми подписями, аномальными тегами или скриптами, которые остаются после OP_ENDIF.