Circa 766,4 milioni di dollari sono andati perduti a causa di incidenti di sicurezza legati alle criptovalute a settembre 2026, secondo un rapporto pubblicato dalla società di sicurezza blockchain CertiK. Il totale stabilisce un nuovo record mensile di perdite per l'anno e coincide con il numero più alto di incidenti confermati registrato in un singolo mese del 2026.

Le perdite del mese sono state fortemente concentrate. L'exchange di criptovalute Bitget ha rappresentato il singolo evento più grande con 387,5 milioni di dollari, seguito dall'incidente della Liquid Network, una sidechain federata di Bitcoin, con circa 318,6 milioni di dollari. Insieme, i due eventi rappresentano oltre il 90% di tutte le perdite di settembre, rendendo trascurabile il terzo incidente più grande, che si è attestato a 7,8 milioni di dollari. Circa 270,6 milioni di dollari del totale del mese — circa il 35% della cifra lorda — sono stati da allora recuperati o congelati, attenuando — ma senza eliminare — l'impatto netto sul settore.

La concentrazione delle perdite riflette una dinamica nota nella sicurezza Web3: mentre il numero di incidenti è distribuito su un'ampia varietà di protocolli e catene, un numero limitato di violazioni su larga scala contro obiettivi centralizzati continua a rappresentare la maggior parte dei fondi rubati.

Gli exploit dominano mentre le perdite trimestrali salgono del 54%

La suddivisione dei vettori di attacco di CertiK mostra una marcata asimmetria. Gli exploit — attacchi che sfruttano vulnerabilità nel codice, nell'infrauttura o nei processi operativi — sono stati responsabili di 33,8 milioni di dollari, ovvero circa il 95,5% delle perdite di settembre. I compromissi di chiavi private hanno rappresentato 14,2 milioni di dollari, i compromissi di wallet 11,9 milioni e il phishing appena 6,2 milioni.

Il numero di incidenti racconta una storia diversa. Dei circa 99 incidenti confermati del mese, 58 sono stati classificati come exploit, mentre 13 erano attacchi di phishing e 11 hanno coinvolto compromissione di chiavi private — a significare che i tipi di attacco più frequenti erano ben lungi dall'essere i più dannosi.

Per categoria, le perdite più elevate si sono distribuite su più catene, mentre Ethereum ha registrato il maggior numero di singoli incidenti, a sottolineare che le esposizioni più grandi riguardano ora infrastrutture cross-chain piuttosto che una singola rete. In linea con i dati mensili, gli exchange centralizzati hanno subito la quota maggiore di perdite, seguiti dagli incidenti legati alle mainnet — una distribuzione coerente con il predominio dei due eventi più grandi del mese.

L'impennata di settembre ha anche delineato un quadro trimestrale cupo. Le perdite totali del terzo trimestre 2026 hanno raggiunto 1,26 miliardi di dollari, in aumento del 53,9% rispetto agli 819,4 milioni del secondo trimestre, mentre il numero di incidenti è salito del 12,8% a 247. Le perdite rettificate — che escludono i fondi recuperati o congelati — sono salite del 10% su base trimestrale a 869,6 milioni di dollari, a indicare che l'aumento non è meramente il risultato di pochi eventi fuori norma, ma parte di un deterioramento più ampio dell'ambiente di sicurezza. Queste cifre stabiliscono ora il parametro di riferimento per l'ultimo tratto del 2026, e l'eventuale destinazione dei circa 495,8 milioni di dollari di perdite di settembre non recuperati o congelati determinerà come verrà registrato definitivamente il costo netto del mese.

Nel complesso, i dati indicano un divario crescente tra frequenza e gravità degli incidenti. Per sviluppatori e team di sicurezza, l'implicazione è che il rafforzamento del codice a livello applicativo resta necessario ma insufficiente: come dimostrato a settembre, una singola vulnerabilità nel backend di un exchange o nell'infrastruttura cross-chain può esporre più valore in un solo evento di quanto abbiano fatto insieme centinaia di exploit minori.