S&P Global Ratings ha lanciato un framework formale per la valutazione del rischio nel mercato dei vault di prestito crypto, un segmento i cui depositi sono cresciuti da 1,5 miliardi a circa 10 miliardi di dollari statunitensi in due anni. L'annuncio è arrivato lo stesso giorno in cui la società di sicurezza blockchain CertiK ha segnalato circa 6 milioni di dollari in movimenti di fondi sospetti che coinvolgono un vault di prestito su Base, la rete blockchain layer-2 costruita da Coinbase.

I due eventi — una grande agenzia di rating che formalizza il modo in cui valuta i prodotti di lending di asset digitali e un avviso di sicurezza che illustra i rischi reali della categoria — hanno messo in luce sia la velocità di crescita del settore sia il divario che le valutazioni indipendenti intendono colmare.

Perché S&P sta esaminando i vault di prestito crypto

Un vault di prestito crypto funziona come un pool di risparmio digitale: gli utenti depositano criptovalute e il vault presta tali asset per generare rendimenti. Questi vault sono diventati un modo comune per generare yield sugli asset digitali, ma finora nessuna grande agenzia di rating aveva applicato loro il tipo di analisi strutturata del rischio su cui si basa la finanza tradizionale. L'assenza di disclosure standardizzate ha attirato una più ampia attenzione normativa nel settore crypto.

S&P Global Ratings è intervenuta per colmare questo divario il 4 ottobre 2026, con il lancio del suo framework Vault Risk Assessment (VRA). Il VRA è progettato per fornire agli investitori un'opinione prospettica sul rischio relativo che i depositi un vault possano essere compromessi, ovvero persi o significativamente ridotti di valore.

Yann Le Pallec, un alto dirigente di S&P Global Ratings, ha dichiarato che la domanda per questo tipo di analisi è in crescita.

"Man mano che gli asset digitali continuano a istituzionalizzarsi, la domanda di valutazioni del rischio indipendenti che colleghino la finanza tradizionale e l'innovazione decentralizzata è fondamentale", ha detto Le Pallec nell'annuncio ufficiale di lancio.

Il VRA valuta sei dimensioni specifiche: qualità creditizia del portafoglio; mismatch di liquidità, ovvero se il vault può far fronte alle richieste di prelievo; rischio del curator, cioè il rischio legato a chi gestisce gli asset e le strategie di un vault; rischio blockchain; rischio di protocollo; e sicurezza e governance del vault. Insieme, queste dimensioni coprono come gli asset di un vault sono gestiti, con quale facilità i depositanti possono uscire e quanto sia sicura l'infrastruttura sottostante.

S&P è esplicita nel precisare che un VRA non è un credit rating e non commenta il yield offerto da un vault. È un'opinione sul rischio relativo, non una garanzia di recupero del capitale.

Un mercato cresciuto di sei volte in due anni

Questa analisi strutturata è importante perché il mercato si è espanso rapidamente. I depositi totali nei vault di prestito di asset digitali hanno raggiunto circa 10 miliardi di dollari statunitensi a settembre 2026, dai 1,5 miliardi di due anni prima, secondo S&P. Quell'aumento di sei volte in due anni riflette quanto rapidamente il capitale istituzionale e retail si è spostato verso questi prodotti, spesso senza i benchmark di rischio indipendenti esistenti nei mercati tradizionali delle obbligazioni o dei fondi monetari. L'ingresso di S&P in questo spazio è una risposta diretta a tale divario.

Cosa ha cambiato l'incidente da 6 milioni di dollari su Base

Lo stesso giorno in cui S&P ha pubblicato il suo framework, la società di sicurezza blockchain CertiK ha segnalato movimenti di fondi sospetti su Base, una blockchain layer-2 più veloce ed economica costruita sopra Ethereum.

Secondo l'avviso pubblico di CertiK, pubblicato dall'account di avvisi dell'azienda il 4 ottobre 2026, un proxy contract appena distribuito — un programma automatizzato su una blockchain in grado di reindirizzare le transazioni — è stato utilizzato per prendere in prestito circa 1.783BaswstETH — un token Aave che rappresenta wstETH, una forma wrapped di ether staked — da un vault di prestito. Tale posizione è stata poi riscattata tramite Aave, uno dei maggiori protocolli di lending crypto, per circa 1.783 wstETH, valutati circa 6 milioni di dollari al momento dell'avviso. L'indirizzo del vault segnalato da CertiK può essere consultato su BaseScan.

#CertiKInsight 🚨 We have seen suspicious fund movement on Base. A newly deployed proxy was used to borrow ~1,783 aBaswstETH from vault , later redeemed via Aave for 1,783 wstETH ($6M) now at Stay Vigilant!

— CertiK Alert (@CertiKAlert) October 4, 2026

Fonte: @CertiKAlert su X

È importante chiarire cosa l'avviso di CertiK ha stabilito e cosa no. L'avviso ha descritto il movimento come sospetto e non ha confermato una perdita permanente, identificato un attaccante né fornito un hash di transazione. Le dinamiche dell'incidente restano sotto esame e l'esito per i depositanti non è stato verificato in modo indipendente.

Anche senza una perdita confermata, l'episodio illustra esattamente i rischi che il nuovo framework di S&P è progettato per valutare. Un proxy appena distribuito che interagisce con un vault, prende in prestito asset e li sposta attraverso un protocollo è precisamente il tipo di attività che rientra nelle dimensioni "vault security and governance" e "protocol risk" del VRA. L'ecosistema DeFi ha visto ripetuti incidenti su bridge e vault che hanno eroso la fiducia dei depositanti, rendendo le valutazioni del rischio indipendenti sempre più preziose.

Implicazioni per il mercato dei vault di prestito da 10 miliardi di dollari

Il VRA di S&P è un passo significativo perché porta un nome riconoscibile della finanza tradizionale in un mercato che ha operato in gran parte senza opinioni di rischio indipendenti di terze parti. Per un investitore che sta valutando un vault di prestito crypto, un punteggio VRA potrebbe eventualmente svolgere una funzione simile a un rating obbligazionario: un segnale sintetico di sicurezza relativa, prodotto da una parte senza interessi finanziari nel vault stesso.

S&P ha chiarito che le valutazioni dei singoli vault saranno pubblicate in futuri annunci, quindi non esiste ancora alcun giudizio VRA attivo disponibile pubblicamente. Il lancio del framework è la base, non il prodotto finito.

Gli sviluppi normativi, incluse le regole SEC in evoluzione sulla custodia crypto per i consulenti agli investimenti, potrebbero determin se valutazioni del rischio indipendenti come il VRA diventeranno uno standard di mercato o rimarranno facoltative.

Per i detentori di crypto, la conseguenza immediata è semplice. L'arrivo di framework formali di valutazione del rischio significa che presto potrebbero essere disponibili più informazioni sui rischi specifici dei vault che usano o stanno valutando. Finché i singoli giudizi VRA non saranno pubblicati, la due diligence resta a carico dell'utente: verificare come un vault gestisce la liquidità, chi ne controlla la governance e se i suoi smart contract sono stati sottoposti a audit indipendenti.

Questo articolo ha finalità puramente informative e non costituisce consulenza finanziaria o di investimento. I mercati delle criptovalute e degli asset digitali comportano rischi significativi. Effettuare sempre le proprie ricerche prima di prendere decisioni.