Una serie di incidenti di sicurezza ha colpito il settore crypto tra luglio e inizio ottobre, coinvolgendo exchange, hardware wallet, bridge e software wallet, secondo un rapporto della società di analisi on-chain Santiment. Il periodo ha compreso alcune delle maggiori perdite del trimestre e ha spinto le preoccupazioni sulla sicurezza al centro del dibattito di settore, toccando sia i clienti degli exchange sia gli utenti che fanno affidamento sull'auto-custodia. In questo contesto, il ricercatore di Ethereum Justin Drake ha invitato a una preparazione tranquilla per quello che ha definito "bunker mode", citando i progressi della matematica assistita dall'AI che un giorno potrebbero minacciare la crittografia a curve ellittiche, il sistema che protegge Bitcoin ed Ethereum.

Santiment ha evidenziato il cambiamento del sentiment in un post su X il 9 ottobre:

🔐 Crypto fear is no longer just about price. From Coldcard and Trezor to Bitget, and now Ledger, security concerns have shifted due to the emergence of AI. We break down sentiment's shift. 👇 🔗 Surviving the Diminished Trust of Crypto in the Era of AI: pic.twitter.com/mmQ5UikT4V

— Santiment Intelligence (@SantimentData) October 9, 2026

Gli incidenti non sono stati uguali. La crittografia di Bitcoin non è stata violata, e Ledger non ha confermato un difetto a livello aziendale. I casi sono andati dai breach degli exchange ai compromessi nella supply-chain dei produttori di wallet, sottolineando quanto le superfici d'attacco possano presentarsi in modo diverso nel settore. Diversi incidenti sono avvenuti attraverso terze parti — un fornitore di spedizioni, un provider email, prodotti di sicurezza compromessi e un rivenditore — conferendo al trimestre una distinta dimensione di supply-chain.

Incidenti su Exchange e Bridge

AFX Trade ha perso circa 24,15 milioni di USDC il 22 luglio, dopo che un attaccante ha ottenuto le cinque firme dei validatori necessarie per approvare un prelievo dal suo bridge, trasformando il processo di approvazione stesso nella superficie d'attacco.

L'exploit di Tectonic è seguito il 30 agosto. Cronos ha stimato i prestiti interessati in circa 120,4 milioni di dollari, e i validatori hanno effuato un rollback di 10.961 blocchi — riscrivendo di fatto la recente storia della chain — per invertire circa 111,2 milioni di dollari. Circa 9,19 milioni di dollari avevano già lasciato la rete.

Il 6 settembre, un bug nel Liquid Network ha consentito la creazione di circa 4.000 LBTC senza copertura. Blockstream ha dichiarato che la sua riserva è scesa da circa 4.205 BTC a circa 197 BTC. L'attaccante ha restituito 3.400 BTC dopo la correzione del bug, ma circa 600 BTC restavano non recuperati, e Blockstream ha respinto una richiesta di bounty del 10%.

Bitget ha segnalato un breach il 24 settembre, indicando il totale in circa 387,5 milioni di dollari, in aumento rispetto a una stima iniziale di 351,6 milioni — un esempio di come le cifre delle perdite possano cambiare nei giorni successivi a un breach. Mandiant e SlowMist hanno fatto risalire l'attacco a prodotti di sicurezza di terze parti compromessi. Bitget ha dichiarato che i suoi cold wallet non sono stati interessati e che il suo fondo di protezione coprirà l'impatto sugli utenti.

I Produttori di Wallet Segnalano Breach

I problemi di Coldcard sono iniziati il 30 luglio. Un errore del risalente a marzo 2021 ha indebolito la casualità utilizzata per creare i seed — il materiale segreto da cui derivano le chiavi private di un wallet — e TRM Labs ha stimato che circa 1.816 BTC, per un valore di circa 116 milioni di dollari, siano stati drenati da oltre 5.200 indirizzi.

Il produttore di hardware wallet Trezor ha reso noto un breach presso il suo fornitore di spedizioni, ShipMonk, ad agosto, e ha poi dichiarato che circa 67.000 clienti statunitensi in più sono stati coinvolti perché i record degli ordini più datati erano stati conservati. Il 9 settembre, Brevo, il provider email di Trezor, è stato compromesso. Circa 347.149 contatti sono stati esportati, e circa 2.500 persone hanno cliccato su un link di phishing. Trezor ha dichiarato che i suoi wallet non sono stati violati.

L'App Wallet di D'CENT ha perso circa 12,4 milioni di XRP su 7.393 wallet tra il 15 e il 25 settembre, e la società ha invitato gli utenti a spostare i fondi su nuovi wallet.

Il Dibattito sul "Bunker Mode"

Il 7 ottobre, Drake ha chiamato a una pianificazione misurata dei rischi legati all'AI per la crittografia a curve ellittiche, la base matematica delle chiavi pubbliche in Bitcoin ed Ethereum — una classe di rischio matematico e di lungo periodo che si distingue dai breach operativi che hanno dominato il trimestre. Yehuda Lindell di Coinbase ha risposto che non ci sono prove che le assunzioni sottostanti si siano indebolite. Il botta e risposta ha racchiuso le due distinte preoccupazioni che attraversano il settore: i guasti operativi dimostrati, e una minaccia alla crittografia stessa che non è stata dimostrata.

Altri Sviluppi

Il 9 ottobre, Tether ha temporaneamente inserito in blacklist quattro indirizzi vault di THORChain detenendo circa 1,45 milioni di dollari in USDT, per poi revocare le restrizioni poche ore dopo.

Sempre il 9 ottobre, Ledger ha avviato un'indagine sui wallet drenati tra i clienti del Sud-est asiatico che avevano acquistato dispositivi dal rivenditore CryptoBilis. L'investigatore-chain Specter ha stimato perdite superiori a 86 milioni di dollari, anche se Ledger non ha confermato il totale. La causa resta oggetto di indagine, e agli acquirenti recenti è stato detto di non inizializzare i dispositivi inutilizzati.

Nel complesso, la serie di incidenti — dagli exploit sui bridge e dai breach degli exchange ai compromessi dei fornitori e ai difetti del firmware — ha reso la sicurezza il tema dominante del trimestre, anche se le società hanno sottolineato che le assunzioni crittografiche fondamentali restano intatte. Diverse cifre restano provvisorie — il totale di Bitget è già stato rivisto una volta in aumento, la stima su Ledger è un conteggio non ufficiale di terzi, e circa 600 BTC del bug del Liquid Network restano non recuperati — lasciando aperto il bilancio finale del trimestre mentre le indagini continuano.