Agosto 2026 ha proseguito il modello che ha definito la sicurezza crypto per tutto l’anno: incidenti frequenti, vettori d’attacco diversificati e perdite che, pur significative, hanno composto un mese frammentato più che catastrofico. Secondo TRM Labs, nella sola prima metà del 2026 sono stati sottratti circa 972 milioni di dollari in 207 incidenti — un record assoluto per frequenza degli attacchi, anche se le perdite complessive sono diminuite rispetto al picco del 2025. Le vulnerabilità degli smart contract sono rimaste il vettore d’attacco più comune, mentre compromissioni di chiavi private e violazioni dell’infrastruttura hanno prodotto molte delle perdite individuali maggiori.

Gli incidenti documentati ad agosto riguardano almeno otto protocolli e fornitori di infrastruttura, con perdite confermate per evento comprese tra 1,7 milioni di dollari e 8,5 milioni di dollari. Considerati insieme, evidenziano tre modalità di guasto persistenti: meccanismi di governance e autorizzazione trasformati in vettori d’attacco, bug a cascata a livello di protocollo che minacciano l’integrità della chain e debolezze di smart contract e infrastruttura le cui conseguenze vanno ben oltre i bilanci.

Quando le regole diventano il vettore: exploit di governance e autorizzazione

L’episodio economicamente più rilevante del mese — la perdita di 8,5 milioni di dollari di Term Finance — non è stato un bug di smart contract, ma un fallimento strutturale del design di governance. Un attaccante ha acquisito a basso costo una posizione di maggioranza in un token di governance scarsamente distribuito e ha approvato proposte che gli hanno concesso il controllo dei strategy vault del protocollo, prosciugando circa 2.843 ETH (valutati 6,87 milioni di dollari al momento) e 1,68 milioni di USDC. Si tratta di circa il 68% dei 12,45 milioni di dollari detenuti nei Meta Vaults di Term e di quasi tutti i suoi depositi in Ethereum.

PeckShield e CertiK hanno confermato in modo indipendente la stima delle perdite. Yearn Finance, la cui infrastruttura V3 era impiegata dai vault, ha chiarito che l’attacco ha sfruttato un wrapper di governance personalizzato e non incide sulle configurazioni standard dei vault Yearn. Term Labs ha risposto chiudendo definitivamente tutti i Meta Vaults, revocando i ruoli di governance DAO, preservando i prelievi e coordinandosi con team esterni di sicurezza per il recupero degli asset. La gravità è amplificata dal contesto istituzionale: dopo un errore oracle nell’aprile 2025 che aveva provocato circa 918 ETH in liquidazioni involontarie, Term aveva promesso trasparenza nella governance e validazione di terze parti per gli aggiornamenti critici.

Un takeover di governance di questo tipo ha precedenti ben documentati. Beanstalk perse circa 182 milioni di dollari nell’aprile 2022 quando un attaccante usò un flash loan per acquisire la maggioranza dei suoi token di governance e far passare una proposta auto-esecutiva, mentre la DAO di Tornado Cash fu presa nel 2023 tramite una proposta malevola altrettanto poco costosa. La perdita di Term mostra che questa categoria di fallimento persiste anche in un protocollo che si era pubblicamente impegnato a una supervisione di governance più rigorosa.

L’exploit da 3 milioni di dollari di BounceBit ha seguito un percorso correlato ma meccanicamente distinto. Una falla di autorizzazione nello stack blockchain di Evmos — la base della Layer 1 di BounceBit — ha consentito a un chiamante di smart contract di designare un account diverso come sorgente della transazione senza alcuna verifica crittografica. In due giorni, l’attaccante ha spostato circa 286,5 milioni di token BB su nove wallet senza compromettere una sola chiave privata o dispositivo wallet. Poiché Evmos stesso è stato dismesso da maggio, BounceBit ha scelto il ritiro permanente della chain invece della remediation, annunciando che avrebbe riemesso BB come token BEP-20 su BNB Chain usando uno snapshot pre-attacco e si sarebbe coordinato con gli exchange per ripristinare i saldi dei clienti colpiti.

Entrambi i casi riflettono un cambiamento ben documentato del settore: quasi il 44% delle perdite della prima metà del 2026 è derivato da falle di sicurezza operative e infrastrutturali anziché da bug di smart contract, e la compromissione di wallet è emersa come il vettore d’attacco più costoso, con gli attaccanti che puntano alla gestione delle chiavi e alla governance multisig. Gli exploit di governance di agosto si inseriscono pienamente in questa traiettoria.

Fallimenti a cascata: bug a livello di protocollo e crisi dell’integrità della chain

Diversi incidenti di agosto sono andati oltre la perdita finanziaria, minacciando l’integrità dello stato blockchain confermato — un esito più grave che mette a rischio la reversibilità delle transazioni già finalizzate e indebolisce la fiducia di base in una rete. MayaChain, una DEX cross-chain costruita sul codice open source di THORChain, ha interrotto la rete il 19 agosto dopo che una transazione da 23 messaggi ha sfruttato sei bug software concatenati, distribuiti tra account di trading, gestione delle transazioni in uscita e calcoli dei liquidity pool. L’attaccante ha infine prelevato 48,87 milioni di token CACAO dal vault Asgard del protocollo. Le perdite dirette sono state di circa 1,7 milioni di dollari in Bitcoin e altri asset; l’erosione complessiva del valore del pool, aggravata dal crollo dell’88,7% di CACAO durante l’incidente, è stata stimata in 10,9 milioni di dollari. Il team ha contattato l’attaccante tramite un messaggio Bitcoin OP_RETURN, avviato una procedura di bug bounty e promesso contributi personali per il recupero.

Harmony ha annunciato un rollback all’11 agosto dopo che token ONE non autorizzati sono stati mintati e distribuiti agli exchange — una misura che cancellerebbe più di 109.000 transazioni ordinarie e 315 transazioni di staking. Il ripristino selettivo è stato ritenuto tecnicamente non sicuro, data l’interdipendenza di saldi, nonce e stati dei contratti nell’intervallo interessato. Ravencoin ha affrontato una crisi parallela quando una vulnerabilità di consenso ha causato l’accettazione di blocchi invalidi a partire dall’altezza 4.487.776, spingendo i mining pool che controllano la maggioranza dell’hash rate della rete a costruire una chain concorrente. Una riorganizzazione riuscita potrebbe annullare circa tre giorni di transazioni confermate; Upbit e Bitget hanno sospeso i trasferimenti di RVN in risposta. MANTRA, una blockchain orientata agli asset del mondo reale tokenizzati, ha interrotto la produzione dei blocchi il 21 agosto dopo che un attaccante ha sfruttato una vulnerabilità in una dipendenza esterna a monte — software sviluppato al di fuori del protocollo stesso. Il token è sceso dell’18,5% fino a un minimo storico prima dello stop, mentre i validator sono rimasti offline in attesa di una versione corretta coordinata e di una valutazione completa delle perdite ancora in corso.

Smart contract, infrastruttura e superficie d’attacco estesa

Ad agosto si sono verificati anche incidenti rilevanti ai livelli dello smart contract e della supply chain, a conferma che il rischio di sicurezza crypto oggi abbraccia l’intero stack operativo. The Sandbox ha disabilitato il bridging su Base e BNB Smart Chain dopo che un attaccante ha hijackato i permessi di delegate LayerZero tramite una funzione approveAndCall per mintare token SAND non coperti.

Nonostante un valore nominale di circa 49 miliardi di dollari — calcolato applicando il prezzo di mercato a token ben oltre la liquidità disponibile — l’offerta effettivamente colpita è stata confermata inferiore allo 0,01% del totale di 3 miliardi di token SAND; SAND su Ethereum e Polygon è rimasto intatto. BTCPay Server ha reso nota una vulnerabilità critica, attivamente sfruttata, che interessa la propria infrastruttura di pagamento Bitcoin self-hosted e ha invitato gli utenti ad aggiornare alla versione 2.4.2 o a portare immediatamente offline i server, anche se le perdite confermate non sono state quantificate.

Separatamente, Trezor ha comunicato che il proprio partner di fulfillment ShipMonk ha subito un accesso non autorizzato, esponendo nomi, indirizzi email, numeri di telefono e indirizzi di spedizione di circa 14.000 clienti in sette paesi. Non sono stati compromessi firmware dei dispositivi né fondi on-chain, ma l’episodio evidenzia la dimensione fisica del rischio: gli attacchi di coercizione di persona hanno causato perdite stimate in 30 milioni di dollari nella prima metà del 2026, con le invasioni domestiche che ora rappresentano il 37% degli incidenti.

Nel complesso, gli incidenti di agosto confermano che il panorama delle vulnerabilità del settore si sta sia ampliando sia diversificando. Gli attaccanti non si limitano più a sfruttare la logica degli smart contract; operano su meccanismi di governance, dipendenze di protocollo, livelli di consenso e fornitori logistici di terze parti. Una mitigazione efficace del rischio richiede sempre più framework di sicurezza in grado di considerare simultaneamente tutte queste superfici.

L’articolo August 2026’s Exploit Wave: Governance Failures, Protocol Bugs, And A Widening Attack Surface è apparso per la prima volta su Metaverse Post .