Il primo semestre del 2026 è stato il periodo più sfruttato nella storia della blockchain, secondo la società di sicurezza onchain Blockaid, che ha verificato 212 incidenti per un totale di 1,1 miliardi di dollari di perdite. Si tratta di un numero 3,4 volte superiore agli exploit ad alta soglia registrati nell’intero 2025.

Sebbene le perdite complessive in dollari non abbiano superato i valori del 2025 — in gran parte perché nessun singolo evento ha eguagliato la violazione di Bybit da 1,5 miliardi di dollari — il volume e la sofisticazione degli attacchi indicano un’escalation più ampia nel contesto delle minacce. Per i team dei protocolli e i fornitori di infrastrutture, il rapporto mostra anche che un singolo fallimento dei controlli può dominare i totali semestrali, mentre gli incidenti di minore entità continuano ad accumularsi rapidamente quando le tecniche di attacco si estendono su più obiettivi.

Le perdite si sono concentrate in modo marcato. I quattro incidenti maggiori — KelpDAO con 292 milioni di dollari, Drift Protocol con 285 milioni, Resolv con 80 milioni e CowSwap con 50,4 milioni — hanno rappresentato complessivamente circa il 64% di tutte le perdite del primo semestre. KelpDAO e Drift sono stati attribuiti direttamente a TraderTraitor, un sottogruppo del Lazarus Group della Corea del Nord. Includendo la violazione di Humanity Protocol, attribuita separatamente e pari a 32 milioni di dollari, gli attori collegati alla RPDC sono stati responsabili di circa 609 milioni di dollari, ossia il 55% del totale del periodo.

Le chiavi private compromesse sono emerse di gran lunga come la principale causa di perdita. Blockaid ha affermato che sono state responsabili di quasi 789 milioni di dollari, pari a circa il 74% dei danni del primo semestre, nell’arco di circa dieci incidenti. I due attacchi più gravi non sono iniziati da una vulnerabilità del contratto, ma da tecniche di ingegneria sociale. Gli operatori della RPDC hanno preso di mira dipendenti di Drift e KelpDAO attraverso manipolazioni in stile LinkedIn, ottenendo infine il controllo dei firmatari multisig e dell’infrastruttura di verifica dei bridge. Nel caso di KelpDAO, gli aggressori hanno sfruttato una configurazione single-DVN nel bridge LayerZero per falsificare un’attestazione cross-chain e drenare 292 milioni di dollari da un escrow su Ethereum.

I punti ciechi legacy e i nuovi vettori ampliano la superficie d’attacco

Gli exploit del codice, pur essendo molto meno costosi nel complesso, con 203 milioni di dollari, hanno dominato per numero di incidenti, rappresentando quasi l’80% di tutti i casi. Il più grande exploit di codice è stato il mint non garantito di Resolv, pari a 80 milioni di dollari.

Un fenomeno più piccolo ma ricorrente ha riguardato contratti legacy o deprecati da cui i team erano già migrati, ma che non erano stati completamente dismessi. Cinque incidenti tra maggio e giugno — inclusi due attacchi separati al rollup Aztec Connect e un exploit di validazione sul deprecated AMM V3 di Raydium — hanno totalizzato circa 5,7 milioni di dollari, sottolineando che i tempi di migrazione non equivalgono alla dismissione di un sistema.

Tre nuovi vettori d’attacco sono comparsi per la prima volta nel primo semestre. La delega del wallet EIP-7702, introdotta da un nuovo standard Ethereum, è stata abusata in quattro incidenti. Un attacco di AI prompt injection contro l’agente Bankr a maggio — il primo caso del genere — ha sottratto 216.000 dollari inducendo un sistema autonomo ad autorizzare una transazione non autorizzata. Anche l’infrastruttura off-chain dei prover dei bridge è stata presa di mira per la prima volta, con KelpDAO e Taiko entrambi compromessi tramite prove falsificate accettate dalle chain di destinazione.

Gli esiti del recupero sono risultati fortemente asimmetrici. Gli exploit del codice hanno talvolta consentito un recupero parziale dei fondi tramite funzioni di pausa d’emergenza o coordinamento onchain. Le compromissioni delle chiavi, al contrario, hanno visto recuperi quasi nulli, con gli asset rubati in genere instradati attraverso mixer nel giro di poche ore. Il contenimento più efficace del periodo si è verificato su Stellar, dove il clustering in tempo reale dei wallet effettuato da Blockaid ha permesso ai validator di mettere in quarantena 7,3 milioni di dollari — il 73% di un drenaggio da 10,2 milioni di dollari dovuto a manipolazione degli oracle — nel giro di pochi minuti dall’attacco.

Il post Crypto Losses Hit $1.1B In First Half Of 2026 As DPRK Actors And New Attack Vectors Drive Record Incident Surge è apparso per la prima volta su Metaverse Post .