Crypto Long & Short: cosa ci dicono davvero gli attacchi crypto da $972 milioni di quest'anno sulla sicurezza

La maggior parte delle crypto rubate nel 2026 esce attraverso chiavi compromesse, firmatari e meccanismi di governance, non attraverso bug degli smart contract, scrive Mitchell Amador, fondatore e CEO di Immunefi. Spiega perché "we were audited" non è mai stato l'equivalente di "we are safe."

Cosa ci dicono davvero i numeri degli attacchi crypto dell'H1 sulla sicurezza

Di Mitchell Amador, fondatore e CEO di Immunefi

Questo mese, un attaccante ha speso circa $4 milioni per sottrarre all'incirca $20 milioni dal tesoro di BonkDAO. Nessuno smart contract è fallito. L'attaccante ha acquistato abbastanza token da far approvare una proposta di governance in una votazione con bassa partecipazione, e il voto è stato eseguito esattamente come scritto. Le regole stesse costituivano la vulnerabilità.

Uno scenario simile si è verificato a giugno da un'altra angolazione. La perdita maggiore del mese — oltre $30 milioni a Humanity Protocol — è derivata da una chiave privata compromessa sul computer di un membro del team, con il contratto intatto, secondo quanto riferito dal progetto stesso.

Questi episodi illustrano la forma delle peggiori perdite del 2026, con crypto che ha perso circa $972 milioni finora quest'anno. Il numero di incidenti continua a crescere e i fondi escono sempre più spesso attraverso qualcosa di diverso da un bug del contratto: una chiave di firma rubata, un verificatore configurato in modo errato, oppure un tesoro in cui chiunque può entrare votando. Il quadro è coerente con dati più ampi del settore che mostrano come i guasti dell'infrastruttura e del livello umano — non gli exploit del codice — siano ora alla base della maggior parte del valore rubato, un cambiamento accelerato mentre i protocolli hanno rafforzato i loro smart contract attraverso anni di audit e programmi bug bounty.

Limitandosi al numero di incidenti, si potrebbe concludere che il settore stia perdendo terreno. Ma osservando quanto è stato effettivamente rubato in totale emerge un quadro più ristretto e più scomodo.

I dati sono chiari. Tra i 425 hack analizzati da Immunefi dal 2021 al 2025, una piccola quota di fallimenti operativi rappresenta la maggior parte del valore perso. Nel periodo 2024–2025, il 54,6% di tutto il valore perso — su 191 hack — può essere ricondotto a compromissioni di exchange centralizzati: le chiavi, la custodia e l'infrastruttura di firma che si collocano sopra il contratto.

Questo però non significa che il livello del codice sia risolto. I critical sono ovunque nel codice in produzione. Il 93,9% dei programmi che operano per cinque anni o più fa emergere un critical confermato, e circa un report confermato su cinque è classificato come critical. Anche il codice non è mai finito: ogni aggiornamento introduce nuova superficie d'attacco. Ciò che è cambiato è che la revisione continua e incentivata ora tiene il passo degli attaccanti su quel codice, ed è proprio per questo che lo stesso modello deve estendersi oltre.

È qui che il playbook standard si esaurisce. Un audit verifica il codice in un momento preciso. Non dice nulla su chi detiene l'autorità di firma, su come viene conservata una chiave o su cosa succede quando un laptop viene compromesso. Gli audit sono essenziali e ogni team serio dovrebbe eseguirli, ma "we were audited" non è mai stato la stessa cosa di "we are safe." Un protocollo è stato auditato 11 volte e ha comunque perso $128 milioni.

Ciò che ha davvero rafforzato il codice dei contratti è una pressione continua e incentivata. Attraverso programmi bug bounty attivi e un insieme più ampio di monitoraggio e risposta rapida, i ricercatori di sicurezza vengono pagati per trovare la vulnerabilità prima degli attaccanti. Un bounty mediano di circa $20.000 previene regolarmente un hack che in media causerebbe circa $25 milioni di danni, rendendo quel pagamento la spesa di sicurezza con il ROI più alto che un protocollo possa fare. Il modello regge perché non si ferma mai, e perché gli incentivi non si degradano quando cambia l'organigramma o un firmatario lascia l'organizzazione.

La stessa disciplina deve ora coprire le chiavi, i firmatari e le regole di governance, altrimenti continueremo a vedere perdite catastrofiche in quest'area.

Quindi un audit rende sicuro un protocollo? Da solo, no. Un protocollo è sicuro quando il suo codice, le sue chiavi, le sue persone, la sua governance e il suo monitoraggio sono tutti trattati come una superficie d'attacco viva e testati continuamente da ricercatori pagati per romperli per primi.

Titoli della settimana

Di Francisco Rodrigues

I titoli di questa settimana mostrano il ribasso del crypto che sta rimodellando bilanci e infrastruttura di mercato. Strategy ha aumentato la liquidità e ha iniziato a riacquistare azioni privilegiate, mentre BitMEX e BitMart hanno annunciato piani di chiusura mentre il mercato ribassista fa sentire i suoi effetti.

Strategy aumenta la riserva di cassa a $3,75 miliardi, riacquista $25 milioni di STRC: La società ha raccolto $544,5 milioni tramite vendite di azioni ordinarie e ne ha utilizzata una parte per riacquistare 288.930 azioni STRC, lasciando invariati i suoi 843.775 BTC.

BitMEX, l'exchange che ha inventato i perpetual swap, sta chiudendo: L'exchange di derivati chiuderà il 23 settembre dopo 11 anni, avendo perso il mercato che ha contribuito a creare a favore di rivali centralizzati più grandi e piattaforme di trading decentralizzate.

BitMart chiuderà dopo nove anni mentre il token BMX crolla: L'exchange sospenderà il trading il 26 agosto e cesserà le operazioni il 31 gennaio 2027, senza fornire un motivo specifico per la chiusura.

Revolut raggiunge una valutazione di $115 miliardi in una vendita di azioni dei dipendenti: La transazione secondaria ha portato la valutazione della banca digitale favorevole alle crypto a un aumento del 53% in meno di un anno, rendendola la società privata più preziosa d'Europa.

Il Clarity Act dovrebbe mancare la finestra prima della pausa estiva del Congresso: Il leader della maggioranza al Senato John Thune ha detto che il disegno di legge era improbabile che passasse prima della pausa, riducendo le probabilità che diventi legge nel 2026 mentre i legislatori restano divisi su etica e rendimento delle stablecoin.

Grafico della settimana

La quota di volume dei long tail su solana torna sopra il 60% mentre PUMP recupera

I memecoin e altri token long tail rappresentano ora oltre il 60% del volume su Solana, rispetto alla fascia alta del 30% a fine giugno. PUMP ha seguito da vicino il recupero, salendo del 42% da inizio mese.