Gli hack crittografici hanno causato circa 2,35 miliardi di dollari di perdite nette finora nel 2026, al netto dei congelamenti e dei fondi restituiti, secondo un rapporto di Lightning.news condiviso con Bitcoin Magazine. La ricercatrice di sicurezza Stacy Muur ha compilato un elenco di protocolli attaccati per più di 50.000 dollari nel 2026, che copre 230 protocolli dall'inizio dell'anno. «La sicurezza crypto è assolutamente compromessa», ha scritto Muur.

Solo settembre ha rappresentato circa 768 milioni di dollari delle perdite nel conteggio di Muur. Gli incidenti sono stati guidati principalmente dagli exchange centralizzati e dai protocolli di finanza decentralizzata, piuttosto che dagli hardware wallet puri per l'autocustodia di Bitcoin, sebbene i guasti degli hardware wallet abbiano ricevuto una notevole attenzione mediatica nel periodo.

La perdita individuale più grande è stata il furto del 24 settembre di circa 387,5 milioni di dollari dagli hot wallet e warm wallet di Bitget. Gli hot wallet sono i depositi connessi a internet che gli exchange mantengono per elaborare i prelievi, il che li rende bersagli ricorrenti perché i loro fondi sono immediatamente mobili. Bitget e le società di analisi blockchain tra cui Chainalysis, Elliptic e TRM Labs hanno collegato l'incidente alla Corea del Nord. Le loro valutazioni hanno citato pattern IP coerenti con l'uso precedente di VPN collegate alla DPRK e sovrapposizioni on-chain con wallet legati a precedenti attività del Lazarus Group e di TraderTraitor, incluso il furto da Bybit del 2025. I monitor delle sanzioni delle Nazioni Unite documentano da anni il furto di criptovalute legato alla Corea del Nord come fonte di reddito per lo stato sanzionato.

Secondo le segnalazioni, gli attaccanti hanno utilizzato prodotti di sicurezza di terze parti per iniettare comandi di prelievo fraudolenti senza ottenere le chiavi private degli exchange.

La Liquid Network, la sidechain Bitcoin di Blockstream, ha subito la perdita successiva per entità dopo che gli attaccanti hanno sfruttato un bug del software Elements all'inizio di settembre. Le sidechain come Liquid proteggono i bitcoin ancorati attraverso una federazione di funzionari indipendenti e girano su Elements, un codebase open source costruito a partire da quello di Bitcoin. L'exploit ha permesso loro di coniare circa 4.000 L-BTC privi di copertura e di trasferirli fuori dal peg per circa 4.000 bitcoin reali, del valore di circa 320 milioni di dollari all'epoca, secondo Galaxy Research.

Gli attaccanti autodefinitisi white hat hanno restituito 3.400 BTC dopo negoziazioni condotte on-chain tramite messaggi OP_RETURN — una funzionalità dello script Bitcoin che consente di incorporare nelle transazioni piccoli payload di dati, inclusi brevi messaggi pubblici — e hanno trattenuto circa 600 BTC. Nessuna chiave della federazione è stata compromessa. La perdita è derivata da un bug di inflazione nel protocollo della rete Liquid.

Samson Mow ha successivamente descritto l'incidente come parte di una «valanga di attacchi assistiti dall'IA» che aveva già colpito altri software adiacenti a Bitcoin prima di raggiungere Liquid. La rete è nuovamente operativa dopo aver coperto le perdite, con fondi presumibilmente provenienti dagli investitori. Liquid ha successivamente annunciato il recupero.

Le piattaforme DeFi hanno mostrato un modello simile di perdite concentrate e di alto valore. In questi incidenti, gli attaccanti hanno preso di mira i controlli amministrativi — i processi di governance e gli accordi multisignature per le tesorerie dei protocolli — piuttosto che la crittografia sottostante. Drift Protocol ha perso circa 285-296 milioni di dollari in una compromissione della governance e del multisig avvenuta ad aprile, preceduta da mesi di ingegneria sociale. Un'indagine commissionata dal progetto ha attribuito l'operazione ad attori nordcoreani.

Il bridge rsETH di KelpDAO basato su LayerZero è stato svuotato di circa 292 milioni di dollari in token privi di copertura dopo che il suo design a verificatore singolo è stato sovvertito. I bridge dipendono da un insieme di verificatori che attestano i trasferimenti cross-chain, quindi i design che richiedono una sola firma concentrano quella fiducia in un'unica parte. LayerZero ha dichiarato che gli indicatori preliminari puntavano al Lazarus Group della DPRK, in particolare a TraderTraitor. Tectonic su Cronos ha visto prendere in prestito circa 120,4 milioni di dollari contro garanzie manipolate alla fine di agosto. I validatori hanno successivamente riavvolto la catena e recuperato la maggior parte dei fondi, anche se diversi milioni di dollari già trasferiti fuori rete tramite bridge non sono stati ripristinati. L'incidente è stato documentato da Bitquery.

Gli incidenti che coinvolgono gli hardware wallet Bitcoin sono stati inferiori in termini aggregati nonostante l'ampia copertura. Galaxy Research ha stimato l'hack RNG di Coinkite in circa 1.596-1.789 BTC, equivalente a circa 100-130 milioni di dollari, con stime più alte che raggiungono circa 2.055 BTC. Negli hardware wallet, il generatore di numeri casuali determina quanto siano imprevedibili le chiavi private generate sul dispositivo, quindi una debolezza dell'RNG può compromettere la segretezza delle chiavi anche quando queste non lasciano mai il dispositivo. La valutazione è stata pubblicata da Galaxy Research.

Le perdite di Ledger di circa 86-102 milioni di dollari sono state ricondotte a dispositivi venduti tramite il rivenditore autorizzato del Sud-est asiatico CryptoBilis. Un implant hardware non autorizzato ha acquisito le frasi di recupero durante la configurazione, rendendo l'incidente un attacco alla supply chain, in cui un prodotto viene compromesso tra la produzione e l'uso finale anziché attraverso i sistemi del produttore stesso. Ledger ha dichiarato che i casi confermati erano limitati alla supply chain di quel rivenditore e che i suoi sistemi e le vendite dirette non sono stati interessati. Rapporti non confermati hanno indicato che dispositivi compromessi potrebbero essere arrivati anche sul mercato tedesco.

Nel complesso, questi incidenti legati agli hardware sono rimasti ben al di sotto delle perdite dei più grandi attacchi agli exchange centralizzati e ai protocolli DeFi.

L'anno ha coinciso anche con l'impiego pratico di agenti di programmazione basati sull'IA capaci di analizzare i codebase alla ricerca di vulnerabilità e di automatizzare lo sviluppo di exploit — un cambiamento con implicazioni per un settore in cui gli audit di sicurezza professionali rappresentano da tempo un passaggio pre-lancio standard e costoso. Muur ha dichiarato: «L'IA sta decisamente rendendo molto più facile trovare e sfruttare i bug. Penso che stiamo entrando in una corsa agli armamenti per la sicurezza informatica piuttosto seria». La dichiarazione è stata inclusa in un altro post.

I rapporti indicano che gli exploit basati su difetti del codice si sono accelerati dopo il rilascio di febbraio di modelli come GPT-5.3-Codex e Claude Opus 4.6, che hanno dimostrato alti tassi di successo nei benchmark sui bug dei smart contract a basso costo. OpenAI ha reso noti casi di test interni in cui degli agenti hanno avuto accesso a fondi non autorizzati su reti di test o hanno aggirato i controlli per completare i compiti.

La maggior parte dei furti più grandi dell'anno ha comunque fatto affidamento su vettori di attacco tradizionali, tra cui la compromissione delle chiavi, l'ingegneria sociale e difetti dell'infrastruttura. Tuttavia, la barriera più bassa per scoprire e trasformare in armi i bug del software introduce un rischio aggiuntivo, in particolare per i sistemi complessi di smart contract e per le sidechain.

Il layer di base di Bitcoin in sé non è stato la fonte di queste perdite. La maggior parte dei danni del 2026 si è concentrata nell'infrastruttura degli hot wallet degli exchange centralizzati, nella governance DeFi, nei design degli oracle e nel codice delle sidechain Bitcoin. Gli hardware wallet puri per l'autocustodia, pur non essendo immuni da guasti, hanno rappresentato una quota nettamente inferiore.

I leader del settore hanno comunque chiesto raccomandazioni aggiornate sull'autocustodia, incluso un maggiore utilizzo di wallet multisignature multivendor come futura base di custodia per parti del settore. Tali configurazioni richiedono approvazioni da dispositivi di firma prodotti da produttori diversi, così che nessun singolo venditore difettoso o compromesso possa spostare fondi da solo. Come evolveranno, in risposta ai risultati dell'anno, le linee guida sulla custodia, la verifica da parte degli exchange dei prodotti di sicurezza di terze parti e i controlli di governance DeFi è il filone da seguire mentre il conteggio di Muur continua a crescere. L'articolo è stato pubblicato per la prima volta da Bitcoin Magazine ed è stato scritto da Juan Galt.