Gli hacker che giovedì hanno preso il controllo dell’account X del CEO di Robinhood Vlad Tenev non hanno eseguito un rug pull convenzionale. Hanno promosso Vladhood ($VLAD), un token la cui liquidità era bloccata in modo permanente tramite il launchpad Pons, rendendo impossibile al suo creatore svuotare il pool ma consentendogli comunque di riscuotere commissioni di trading a tempo indeterminato.

Il post, che presentava $VLAD come la “mascotte ufficiale” di Robinhood Chain, ha ottenuto più di 175.000 visualizzazioni in meno di 20 minuti e ha contribuito a generare $22 milioni di volume di scambi. I registri on-chain citati da The Defiant e Onchain Lens mostrano che il contratto del token era stato distribuito 46 minuti prima della comparsa del post hackerato e che la configurazione di lancio indicava il profilo X dello stesso Tenev come sito ufficiale del token.

Il risultato è stato una struttura di truffa che ha usato l’infrastruttura anti-rug come meccanismo di ricavo. Pons blocca in modo permanente la liquidità dei token, ma i wallet dei creatori possono riscuotere commissioni dall’attività di trading. Nelle prime ore, il wallet del creatore di $VLAD ha richiesto circa $59.000 in commissioni, oltre a proventi totali stimati tra $1,2 milioni e $1,3 milioni dalle vendite dei wallet iniziali.

L’incidente è stata la seconda truffa su token tramite account executive su Robinhood Chain in undici giorni ed è avvenuto sei giorni prima della conference call sugli utili di Robinhood. Solleva una domanda che i fornitori di infrastrutture crypto non hanno ancora risolto: chi è responsabile quando sistemi progettati per prevenire un tipo di frode creano un modello di business per un’altra.

Il crimine crypto segue da tempo uno schema familiare: creare un token, costruire credibilità, attirare acquirenti, drenare la liquidità e sparire. Questa struttura dà a un rug pull un inizio, uno sviluppo e una fine. L’incidente $VLAD ha avuto le prime due parti, ma il suo design non gli ha dato un punto di conclusione chiaro.

Poiché il token è stato lanciato tramite una piattaforma la cui principale caratteristica di sicurezza blocca la liquidità in modo permanente, il creatore non poteva rimuovere il pool di liquidità. Invece, ogni swap generava commissioni riscuotibili dal creatore del token. L’analisi on-chain di The Defiant ha mostrato che il wallet ha chiamato la funzione di riscossione delle commissioni sei volte nelle prime due ore circa.

LATEST: Robinhood CEO Vlad Tenev X account hacked to promote fake memecoin Hackers pushed a purported official $VLAD token as the Robinhood Chain mascot before the account was secured pic.twitter.com/kuMduz7Vbv — crypto.news (@cryptodotnews) July 24, 2026

LATEST: Robinhood CEO Vlad Tenev X account hacked to promote fake memecoin Hackers pushed a purported official $VLAD token as the Robinhood Chain mascot before the account was secured pic.twitter.com/kuMduz7Vbv

L’operazione, ricostruita

La sequenza temporale ricostruita dai registri on-chain e dalle analisi di The Defiant e Onchain Lens indica che la compromissione dell’account e il lancio del token facevano parte di un’unica operazione coordinata, non di una risposta opportunistica a una compromissione fortunata.

Alle 12:38 p.m. ET di giovedì, un wallet senza precedenti attività ha lanciato Vladhood tramite Pons, uno dei launchpad in stile Pump.fun più attivi su Robinhood Chain durante il primo mese della rete. Pump.fun, il launchpad basato su Solana che ha reso popolare il modello dei token con bonding curve, ha generato imitatori su quasi tutte le principali blockchain dal suo breakout nel 2024; Pons è l’equivalente su Robinhood Chain, e il suo design con liquidità bloccata più commissioni per il creatore è una variante di quel modello. Le impostazioni di lancio del token includevano l’URL del profilo X di Tenev nel campo del sito ufficiale. Questo dettaglio suggerisce che il token fosse stato configurato attorno a un account che i creatori non controllavano ancora pubblicamente.

Quarantasei minuti dopo, il post fraudolento è apparso sull’account X verificato di Tenev. Chiedeva se Robinhood amasse i meme, rispondeva di sì, presentava $VLAD come la mascotte ufficiale di Robinhood Chain, prometteva falsamente una quotazione nell’app Robinhood, si chiudeva con “Welcome to the Hood” e includeva l’indirizzo del contratto.

La struttura di credibilità era potente: un account executive verificato, la voce del CEO di Robinhood, una chain che Tenev aveva lanciato tre settimane prima e un’affermazione su una quotazione nell’app abbastanza plausibile da attirare scambi immediati.

Il post ha ricevuto più di 175.000 visualizzazioni in meno di 20 minuti. Il token è salito di oltre il 90.000% dal lancio. Il volume di trading ha raggiunto $22 milioni attraverso circa 85.000 swap nel pool principale. La sua capitalizzazione di mercato ha raggiunto un valore compreso tra $4 milioni e $10 milioni, a seconda dello snapshot. Il contratto ha accumulato 5.266 holder e 137.000 trasferimenti nello stesso pomeriggio in cui è stato distribuito.

Il team comunicazione di Robinhood ha confermato la compromissione circa 41 minuti dopo il post e ha collaborato con X per eliminarlo. L’explorer di Robinhood Chain ha segnalato il contratto come probabile truffa. I monitor on-chain hanno stimato che i wallet collegati all’operazione abbiano estratto circa 650-690 ETH, pari a circa $1,2 milioni-$1,3 milioni, in gran parte tramite wallet iniziali che, secondo quanto riportato, detenevano il 70% dell’offerta e hanno venduto durante il picco di prezzo.

JUST IN: Robinhood Chain surpasses 2 million dollars in cumulative revenue since launch 200,000 dollars in AEP fees will flow back to the Arbitrum ecosystem pic.twitter.com/1t260Hkogi — crypto.news (@cryptodotnews) July 23, 2026

JUST IN: Robinhood Chain surpasses 2 million dollars in cumulative revenue since launch 200,000 dollars in AEP fees will flow back to the Arbitrum ecosystem pic.twitter.com/1t260Hkogi

Robinhood Chain è costruita sullo stack tecnologico di Arbitrum, e l’accordo sulle commissioni AEP citato sopra significa che una parte dei ricavi della chain torna all’ecosistema Arbitrum, collegando l’attività di trading della frode, seppure indirettamente, alla più ampia economia Layer-2.

Ma le vendite iniziali non erano la fine dello schema. Erano il primo livello dei proventi.

Il meccanismo: protezione anti-rug come rendita

L’elemento centrale dell’incidente è il modo in cui ha utilizzato un meccanismo anti-rug legittimo. I launchpad nel modello Pump.fun cercano di prevenire i rug pull classici bloccando la liquidità di un token in un contratto che il creatore non può svuotare dopo che il token passa a un pool di trading. Poiché il creatore non può rimuovere il pool, la tradizionale exit scam basata sul ritiro della liquidità e sul crollo del mercato viene bloccata meccanicamente.

Pons usa questa struttura standard con un incentivo correlato: il pool di liquidità bloccata continua a generare commissioni di trading sugli swap, e tali commissioni possono essere richieste dal creatore del token. Nei lanci legittimi, questo design ricompensa i creatori i cui token mantengono volume di scambi.

Nel caso di $VLAD, lo stesso design ha permesso all’attaccante di continuare a guadagnare dopo che la frode era stata esposta. Il creatore non poteva fare un rug pull del pool, ma non ne aveva bisogno. Vendite dettate dal panico, tentativi degli holder di uscire, trading speculativo, arbitraggio e trading sulla volatilità generavano tutti commissioni. Queste commissioni fluivano al wallet del creatore ogni volta che chiamava la funzione di claim.

A partire da sette minuti dopo il post falso, il wallet ha chiamato la funzione di riscossione delle commissioni del locker sei volte in circa due ore, ricevendo circa 31,6 ETH, ovvero circa $59.000. Il saldo continua a crescere finché il token viene scambiato. Come ha sintetizzato The Defiant, il wallet non doveva ritirare la liquidità per incassare. Il token non ha fatto rug pull; ha incassato.

Questo cambia l’economia della truffa. Un rug pull monetizza la credibilità una sola volta, in un singolo evento estrattivo che conclude la frode. Un flusso di commissioni da liquidità bloccata trasforma la stessa credibilità rubata in un asset produttivo: un diritto continuativo sull’attività di trading di un token il cui creatore non può uccidere il pool, la cui notorietà può essa stessa sostenere il volume e i cui tentativi delle vittime di scambiare possono pagare il creatore.

Crypto.news aveva coperto un precedente undici giorni prima: l’operazione SCATMAN, che aveva usato account SpaceX compromessi per promuovere un token sulla stessa chain ed estratto circa $135.000 in una struttura pump-and-dump più tradizionale. Gli operatori di $VLAD hanno incassato circa dieci volte tanto nelle ore iniziali e, strutturalmente, il flusso di commissioni non si è concluso.

NEW: RelayProtocol warns of scam tokens on Robinhood Chain that disappear after purchase pic.twitter.com/QpwHTBVWbJ — crypto.news (@cryptodotnews) July 10, 2026

NEW: RelayProtocol warns of scam tokens on Robinhood Chain that disappear after purchase pic.twitter.com/QpwHTBVWbJ

Il luogo, il tempismo e la questione della responsabilità

Il luogo è rilevante perché Robinhood Chain è gestita da un broker regolamentato e l’incidente è avvenuto sei giorni prima della conference call sugli utili della società.

Durante il suo primo mese, Robinhood Chain ha registrato $700 milioni in asset, 300.000 indirizzi attivi giornalieri, elevati volumi su exchange decentralizzati, il terzo posto nei ricavi di chain su sette giorni e un problema di composizione: i memecoin hanno trainato la maggior parte dell’attività, mentre gli asset reali tokenizzati, la categoria che la chain era stata creata per supportare, rappresentavano circa $13 milioni.

L’ondata di truffe ha accentuato questo problema. Il 12 luglio, SCATMAN ha usato account SpaceX compromessi sulla stessa chain. Un launchpad è poi scomparso durante il boom dei memecoin della chain dopo aver raccolto una stima di $12 milioni in commissioni. Poi un token che usava il volto del fondatore della chain è diventato la frode più sofisticata della rete, anche mentre l’explorer della chain segnalava il token come truffa.

Il punto scomodo è che la meccanica delle commissioni della chain continua a generare ricavi dall’attività di trading, incluse le negoziazioni di token truffa segnalati, e anche l’operatore del sequencer beneficia dell’attività. Robinhood non ha autorizzato $VLAD, ma un broker che si presenta come ponte conforme verso gli asset digitali è ora collegato a ricavi di protocollo derivanti da una frode che impersonava il suo stesso CEO.

JUST IN: Zach Brenner says Robinhood Chain sees cool innovation in RWAs stock tokens NFTs and memecoins The ecosystem is experimenting with a wide range of digital asset applications pic.twitter.com/Zlx4PH2vht — crypto.news (@cryptodotnews) July 20, 2026

JUST IN: Zach Brenner says Robinhood Chain sees cool innovation in RWAs stock tokens NFTs and memecoins The ecosystem is experimenting with a wide range of digital asset applications pic.twitter.com/Zlx4PH2vht

La questione della responsabilità non è più ipotetica. Pons ha progettato il locker; il locker garantisce il flusso di commissioni; e una scelta di design che impedisce la rimozione della liquidità finanzia anche il creatore di un token fraudolento. Il nodo irrisolto è se Pons sia soltanto un fornitore neutrale di strumenti o se gestire un sistema che consente a qualunque ladro di account di creare un token generatore di commissioni comporti obblighi di congelare le richieste di commissioni dei creatori sui token segnalati, richiedere identità per i prelievi delle commissioni o aggiungere un kill switch a un’infrastruttura progettata per essere permissionless.

Ogni opzione comporta compromessi. Commissioni congelabili reintroducono un operatore fidato. Requisiti di identità indeboliscono il modello di lancio permissionless che genera volume. L’inazione lascia in funzione la rendita da commissioni.

Lo stesso problema si applica alla chain e a X. La sicurezza degli account verificati è stata ora il punto di ingresso per due frodi su token rivolte a pubblici molto ampi in undici giorni su Robinhood Chain, parte di un modello più ampio che include l’ondata di account di celebrità del 2024 e la falsa moneta Armstrong di questo mese, un token fraudolento promosso tramite l’account compromesso del CEO di Coinbase Brian Armstrong. Gli account social degli executive sono diventati una forma di infrastruttura finanziaria, pur rimanendo spesso protetti come normali account consumer.

L’economia della fiducia presa in prestito

L’incidente fornisce anche una misura del valore della credibilità rubata. L’account compromesso di Tenev aveva circa 15 milioni di follower. Il post è rimasto in distribuzione primaria per circa 20 minuti e ha attirato 175.000 visualizzazioni. Il token ha elaborato $22 milioni di volume e ha raggiunto 5.266 holder nel giro di poche ore. Gli operatori hanno estratto tra $1,2 milioni e $1,3 milioni in proventi diretti, oltre al flusso continuativo di commissioni del creatore.

Ciò equivale a circa $65.000 di estrazione per ogni minuto di permanenza del post, circa $7,40 per visualizzazione e circa $250 di volume di trading finale per visualizzazione. Questi dati aiutano a spiegare perché la compromissione degli account executive sia diventata più professionalizzata, con broker di accesso che procurano credenziali, operatori che preparano in anticipo l’infrastruttura del token e specialisti della distribuzione che cronometrano i post.

Il divario di 46 minuti tra la distribuzione del token e il post hackerato è significativo. L’attacco non è stato assemblato dopo che l’account è stato preso pubblicamente; il token era pronto prima dell’evento di distribuzione. Rispetto a SCATMAN, che ha usato una costellazione di account più piccola e un meccanismo meno complesso, l’incidente $VLAD ha prodotto circa dieci volte più proventi, riflettendo come i rendimenti scalino con la qualità del pubblico e la sofisticazione del meccanismo.

La timeline mostra anche dove le difese non sono riuscite a incidere. Segnalazioni dell’explorer, ripristino dell’account e cancellazione del post sono avvenuti tutti entro un’ora, ma l’operazione è diventata redditizia entro sette minuti. Quando il post è stato eliminato, la principale finestra di estrazione si era già verificata.

Le misure difensive più efficaci agirebbero a monte. I grandi account verificati potrebbero essere trattati come infrastruttura finanziaria, con requisiti di hardware key e igiene delle sessioni più rigorosa per gli account oltre una certa soglia di pubblico. I launchpad potrebbero inoltre imporre periodi di escrow per le commissioni dei creatori, ritardando le richieste di commissioni abbastanza a lungo da consentire la propagazione delle segnalazioni di truffa. Un simile ritardo avrebbe potuto trasformare il flusso di commissioni di $VLAD in una prova congelata senza impedire il lancio permissionless del token stesso.

Nessuna delle due misure richiede di identificare ogni creatore. Entrambe riducono la capacità di throughput del funnel della frode anziché concentrarsi solo sulle conseguenze. L’attuale assetto, in cui un account ad ampia portata è protetto secondo le pratiche scelte dal proprietario e le commissioni di un token segnalato fluiscono al suo operatore in tempo reale, crea di fatto una taglia pubblica.

Cosa osservare

Il primo elemento è il contatore delle commissioni. Le richieste del wallet del creatore sono pubbliche e continuative. Se il saldo supererà le sei cifre, e se Pons, Robinhood Chain, un tribunale o un altro soggetto lo interromperanno, mostrerà se il settore tratta l’incidente come un caso isolato o come un precedente. Al primo giorno, l’architettura stessa non ha fermato i pagamenti.

Il secondo elemento è la risposta del launchpad. Pons affronta per primo il trilemma: meccanismi di congelamento, barriere di identità o neutralità esplicita. La sua decisione, e l’eventuale pressione di Robinhood Chain, contribuiranno a definire le prime regole per le truffe basate su rendite da commissioni. La struttura è facilmente replicabile su qualsiasi chain con un launchpad a liquidità bloccata.

Il terzo elemento è la conference call sugli utili di Robinhood del 29 luglio. Se analisti o utenti retail della piattaforma Say spingeranno il management ad affrontare ufficialmente l’ondata di truffe, la risposta della società potrebbe essere una prima dichiarazione pubblica di un broker sulla responsabilità per frodi condotte su infrastrutture che gestisce e da cui trae profitto.

Il quarto elemento è il postmortem sulla sicurezza. Che la compromissione dell’account abbia coinvolto SIM swapping, furto di sessione, accesso interno o un altro metodo è rilevante per gli executive di tutto il settore. L’innovazione chiave dell’operazione $VLAD è stata l’abbinamento tra progettazione pianificata del token e compromissione dell’account. Il divario di 46 minuti tra distribuzione e pubblicazione mostra che l’operazione era stata preparata in anticipo.

Il significato più ampio è che una truffa può ora usare infrastruttura anti-rug per creare reddito continuativo. Gli operatori di $VLAD hanno mostrato che un sistema a liquidità bloccata può convertire credibilità rubata in un flusso di commissioni meccanicamente persistente. I circa $59.000 di commissioni iniziali richieste sono una cifra contenuta rispetto al design che dimostrano: ogni pool bloccato su ogni launchpad può diventare una potenziale rendita per chiunque riesca a produrre un breve periodo di fiducia presa in prestito.

Esiste anche un problema di qualificazione giuridica. La legge esistente ha un vocabolario familiare per i rug pull, tra cui furto, frode telematica e manipolazione di mercato, ciascuno legato a un evento di uscita. Una rendita da commissioni è meno immediata da classificare. L’impersonificazione iniziale è chiaramente criminale nella compromissione dell’account e nella falsa affermazione di listing, e un eventuale imputato potrebbe affrontare quei capi. Il flusso di reddito continuativo è più difficile da inquadrare.

Dopo l’esposizione, i trader successivi di $VLAD possono sapere che il token è segnalato, che il meccanismo delle commissioni è visibile e che il creatore guadagna dal trading. L’operatore estrae valore non necessariamente ingannando quei trader successivi, ma perché l’inganno precedente ha creato il pool e la sua notorietà. Se la riscossione di commissioni definite contrattualmente da speculatori informati costituisca frode continuata, arricchimento ingiusto o condotta lecita ma discutibile è una domanda a cui i tribunali non hanno ancora risposto.

La risposta è importante perché determinerà se il flusso di commissioni potrà essere sequestrato, se i launchpad saranno responsabili per averlo pagato e se il modello si diffonderà. La storia dell’enforcement suggerisce che la questione potrebbe essere risolta solo dopo un incidente successivo su scala maggiore che costringa la dottrina legale ad aggiornarsi. Fino ad allora, il wallet $VLAD può continuare a chiamare la sua funzione, il locker può continuare a pagare e il divario tra ciò che il meccanismo consente e ciò che la legge ha definito può continuare a riscuotere commissioni.

Domande frequenti

Cosa è successo all’account X di Vlad Tenev?

Gli hacker hanno preso il controllo dell’account X verificato del CEO di Robinhood Vlad Tenev giovedì 23 luglio e hanno pubblicato una promozione per un falso memecoin chiamato Vladhood ($VLAD). Il post presentava il token come la mascotte ufficiale di Robinhood Chain e affermava falsamente che sarebbe stato listato nell’app Robinhood. Ha ottenuto più di 175.000 visualizzazioni in meno di 20 minuti prima della rimozione. Robinhood ha confermato la compromissione circa 41 minuti dopo il post e ha dichiarato di collaborare con X per ripristinare l’accesso.

È stato un hack opportunistico?

No. I registri on-chain mostrano che il contratto del token è stato distribuito tramite il launchpad Pons 46 minuti prima della comparsa del post fraudolento. La configurazione di lancio indicava il profilo X dello stesso Tenev come sito ufficiale del token, segnalando che il lancio del token e la compromissione dell’account erano parti coordinate di un’unica operazione.

Quanto hanno guadagnato gli attaccanti?

I monitor on-chain stimano proventi totali di circa 650-690 ETH, ovvero circa $1,2 milioni-$1,3 milioni, in gran parte da wallet iniziali che, secondo quanto riportato, detenevano il 70% dell’offerta e hanno venduto durante il picco di prezzo. Separatamente, il pool di liquidità bloccata ha pagato al wallet del creatore circa $59.000 in commissioni di trading nelle prime ore, richieste attraverso sei prelievi, e quel flusso continua ad accumularsi con ogni trade.

Perché il token non può subire un rug pull, e perché è importante?

Il launchpad Pons blocca la liquidità di un token in un contratto che il creatore non può svuotare. Questo impedisce un rug pull classico basato sulla rimozione della liquidità. Tuttavia, il pool bloccato continua a generare commissioni di trading che il creatore può riscuotere. In questo caso, l’attaccante ha ottenuto un flusso di reddito continuativo dagli scambi del token.

Come si confronta con l’incidente SCATMAN?

SCATMAN, undici giorni prima, aveva usato account SpaceX e Starlink compromessi per promuovere un token sulla stessa chain ed estratto circa $135.000 in una struttura pump-and-dump tradizionale. $VLAD ha estratto circa dieci volte tanto nelle sue ore iniziali e dispone di un flusso di commissioni continuativo grazie al meccanismo di liquidità bloccata.

Robinhood ha responsabilità per le truffe sulla sua chain?

La questione resta irrisolta. Robinhood non ha autorizzato il token e la chain è permissionless, ma la rete e il suo sequencer generano ricavi dall’attività, inclusa quella fraudolenta. La segnalazione di truffa dell’explorer non può fermare gli scambi né le richieste di commissioni. I launchpad affrontano un dilemma correlato: congelare le commissioni o richiedere identità comprometterebbe il design permissionless, mentre non fare nulla lascia in funzione la rendita.

Cosa dovrebbero trarre gli utenti da questo caso?

Gli account executive verificati sono diventati un importante vettore di frode. Due incidenti in undici giorni hanno usato account ufficiali compromessi. I post che annunciano token a sorpresa dovrebbero essere verificati tramite i canali aziendali ufficiali. Liquidità bloccata significa che un token non può subire un rug pull tramite rimozione della liquidità; non significa che il token sia legittimo. In questo design, scambiare un token segnalato può pagare il suo creatore.

Questo modello di truffa potrebbe diffondersi?

Sì. Qualsiasi launchpad che combini liquidità bloccata e commissioni riscuotibili dal creatore può ospitare la stessa struttura. L’ingrediente necessario è un breve periodo di credibilità presa in prestito da un account compromesso con ampia portata. Finché le piattaforme non creeranno meccanismi per interrompere le richieste di commissioni sui token segnalati, ciascun pool di questo tipo potrà diventare un pagamento continuativo per il creatore.

Disclaimer: Questo articolo ha finalità esclusivamente informative ed educative e non costituisce consulenza finanziaria, di investimento o legale. Descrive un incidente di sicurezza in corso sulla base di dati on-chain e informazioni disponibili al momento della stesura, e le cifre possono cambiare con il proseguire delle indagini. Non interagire mai con token promossi tramite canali non verificati o compromessi. Fai sempre le tue ricerche. Le informazioni sono accurate al 24 luglio 2026.