Il furto da 6,3 miliardi di dollari ai danni di Binance, descritto come la più grande rapina crypto della storia, ha messo a fuoco i meccanismi dell'assicurazione per criptovalute. L'entità della perdita evidenzia quanto in modo disomogeneo gli exchange di criptovalute assicurino gli asset digitali: ciò che viene coperto dipende da come gli asset sono custoditi, da come gli attaccanti riescono a entrare e dalle condizioni scritte in ciascun contratto.

Secondo un rapporto di Reuters, l'assicurazione degli asset digitali consiste in un insieme di polizze per exchange, custodi e altre aziende esposte a furti, attacchi informatici, guasti tecnologici e rischi aziendali correlati. Queste polizze possono coprire rischi legati a chiavi private, sicurezza dei wallet, smart contract e sistemi di custodia.

Come varia la copertura tra i diversi tipi di polizza

La sottoscrizione rimane un settore di nicchia del mondo assicurativo, gestito soprattutto da assicuratori specializzati operanti nel mercato di Lloyd's e a Bermuda. Il rapporto rileva che la regolamentazione limitata e la volatilità dei prezzi delle criptovalute hanno mantenuto gli assicuratori cauti, anche se la domanda di protezione è cresciuta insieme all'uso delle criptovalute e ai sinistri per furti. Di fronte a una perdita delle dimensioni di quella di Binance, questa cautela ha conseguenze: il rapporto descrive un divario tra le perdite che le aziende di asset digitali potrebbero subire e la capacità assicurativa disponibile, ed è per questo che la copertura funziona come uno strato di protezione anziché come una garanzia completa contro un furto catastrofico.

La copertura di una singola azienda può sovrapporre diverse forme di assicurazione. Le polizze crime possono rispondere a furti, ingegneria sociale e truffe. La responsabilità informatica può coprire violazioni di dati, risposta normativa e alcuni costi correlati. Le polizze per errori e omissioni possono intervenire in caso di bug software o guasti di smart contract, mentre la copertura direttori e funzionari riguarda le cause intentate contro i dirigenti. La responsabilità tecnologica può estendersi ai fornitori di infrastrutture.

La combinazione è importante perché i prodotti assicurativi standard non sono mai stati pensati per le criptovalute rubate. La maggior parte delle polizze crime tradizionali è stata progettata per beni fisici come contanti, titoli e metalli preziosi, e nemmeno le polizze informatiche convenzionali coprono sempre gli asset digitali rubati.

Quando l'assicurazione non basta

Una volta avvenuto l'hack, un exchange può contare sui risarcimenti assicurativi, sul proprio capitale e sui fondi di emergenza accantonati per i clienti. Ciò che un assicuratore paga alla fine dipende dai massimali, dalle franchigie e dalle esclusioni della polizza. Quando le perdite superano gli importi assicurati, l'azienda deve fare affidamento sulle proprie risorse finanziarie o su altri accordi di recupero.

Binance ha creato il Secure Asset Fund for Users, noto come SAFU, a luglio 2018. L'exchange lo descrive come una riserva di emergenza per casi estremi, comprese violazioni della sicurezza o incidenti a livello di piattaforma. Al 2026, il fondo deteneva circa 1 miliardo di dollari in asset crypto, interamente in bitcoin, secondo il sito web di Binance.

Il rapporto ha indicato che Binance non ha risposto immediatamente alla richiesta di commento di Reuters sulla propria copertura assicurativa. Non afferma che l'assicurazione abbia coperto la perdita di 6,3 miliardi di dollari, né stabilisce quanta parte di una perdita potrebbe essere recuperata tramite il fondo. Questi punti irrisolti — se una qualsiasi polizza risponda al furto e quanto possa contribuire il fondo — sono le informazioni che mostrerebbero quanta parte della perdita ricade sulle risorse stesse dell'exchange.

I sinistri possono dipendere da come si è sviluppata la violazione, dai sistemi compromessi e dalla compatibilità della perdita con la polizza in questione. Gli assicuratori possono esaminare i controlli su chiavi private, accesso ai wallet e approvazioni delle transazioni. Se un hacker esterno ha rubato le credenziali o un dipendente ha trasferito deliberatamente gli asset può determinare quale polizza si applica.

Esclusioni e controlli di sicurezza determinano gli esiti

Le polizze possono escludere le fluttuazioni di valore, gli atti fraudolenti del contraente o la gestione delle chiavi non sicura e negligente. Tali clausole possono ridurre la protezione e rendere più difficile ottenere la copertura. Il massimale dichiarato di una polizza, da solo, dice quindi poco su ciò che un'azienda riceverebbe effettivamente dopo un incidente specifico.

Jacqueline Quintal, responsabile del settore istituzioni finanziarie e asset digitali di Marsh, ha dichiarato a Reuters che le aziende di asset digitali e i clienti istituzionali devono capire cosa è coperto, insieme a esclusioni e sottomassimali. Ha aggiunto che, dato il divario tra le perdite possibili e la capacità assicurativa disponibile, contano anche i controlli tecnologici e di sicurezza, una solida governance e la solidità finanziaria.

Il rapporto non offre una formula unica di polizza che garantisca il rimborso. Gli exchange devono analizzare il testo esatto delle loro polizze e determinare se una data perdita rientra nella copertura, e la revisione dei sinistri dipende dalla violazione stessa, dai sistemi coinvolti e dai controlli in atto.