Cripto, 1,3 miliardi di dollari rubati nel 2026: il bersaglio non è più il codice, sono le chiavi private

Nei primi otto mesi del 2026 i protocolli DeFi hanno perso almeno 1,3 miliardi di dollari in furti ed exploit, secondo il rapporto Hack3d di CertiK ripreso da Forbes. Il dato che cambia la lettura del fenomeno non è la cifra in sé — comparabile a quella degli anni scorsi — ma la sua composizione: per la prima volta da quando viene tracciato, il furto di chiavi private e credenziali privilegiate ha superato i bug nei codici degli smart contract come causa principale delle perdite.

Detto altrimenti: il codice, nella maggior parte dei casi, ha superato gli audit. A cedere sono state le persone che lo custodivano.

Due colpi, 575 milioni di dollari, diciotto giorni

Il caso più netto è quello di Drift Protocol, la maggiore piattaforma di perpetual su Solana, svaltata di 285 milioni di dollari il 1° aprile in appena 128 secondi. Gli aggressori non hanno toccato una riga di codice: hanno speso mesi a costruire un rapporto di fiducia con i collaboratori di Drift, spacciandosi per una società di trading quantitativo, fino a ottenere l’autorizzazione pre-firmata del Security Council del protocollo. Con quella chiave hanno fatto approvare un token fittizio come collaterale e prosciugato la cassa.

Diciassette giorni dopo, il 18 aprile, KelpDAO ha perso 290 milioni di dollari attraverso il suo bridge su Ethereum basato su LayerZero: qualcuno ha violato le credenziali di sessione di uno sviluppatore di LayerZero Labs, ha isolato con un attacco DDoS i nodi di verifica esterni e ha fatto approvare ai nodi compromessi un messaggio cross-chain falso. Risultato: 116.500 rsETH coniati dal nulla, usati come collaterale su Aave per prendere in prestito ETH reale prima che il multisig d’emergenza riuscisse a raccogliere le firme per bloccare tutto. In 48 ore il valore totale bloccato di Aave è crollato di 6,28 miliardi di dollari e nove protocolli hanno sospeso i mercati.

I due attacchi, da soli, valgono 575 milioni di dollari — quasi il 45% del totale rubato nel 2026 — e sono stati entrambi attribuiti a TraderTraitor, la cellula del gruppo nordcoreano Lazarus già responsabile del furto record da 1,5 miliardi di dollari ai danni di Bybit nel febbraio 2025. Sommando i due episodi, il bottino del gruppo negli ultimi diciotto mesi supera i 2 miliardi di dollari.

Nemmeno l’autocustodia è al sicuro

Il problema non riguarda solo la finanza decentralizzata. Il 30 luglio un bug del firmware dei portafogli hardware Coldcard — fra i più diffusi per la custodia offline del Bitcoin — ha sostituito il generatore di numeri casuali con un valore prevedibile, rendendo le chiavi di migliaia di wallet indovinabili con la sola potenza di calcolo. Secondo Galaxy Research sono stati sottratti circa 130 milioni di dollari da oltre 7.000 indirizzi, senza phishing né malware: bastava rifare i calcoli. Chi seguiva alla lettera il manuale dell’autocustodia — wallet hardware, firma offline, nessun intermediario — ha perso comunque tutto.

L’angolo svizzero: perché la custodia regolamentata pesa di più ora

Per chi detiene cripto dalla Svizzera, la lezione del 2026 non è "meglio gli exchange" o "meglio il self-custody": è che la gestione delle chiavi conta più del luogo in cui si trovano. Gli istituti sotto vigilanza FINMA — da Sygnum ad AMINA Bank e Bitcoin Suisse — usano schemi di firma a soglia e moduli hardware dedicati che eliminano il singolo punto di debolezza sfruttato con Drift, dove una sola chiave amministrativa bastava a muovere 285 milioni di dollari. È la stessa logica dietro il nuovo servizio con cui BancaStato ha aperto ai propri clienti la negoziazione regolamentata di Bitcoin, Ethereum e altre due criptovalute appoggiandosi proprio a Sygnum per l’esecuzione e la custodia: il cliente non gestisce mai una chiave privata.

Sul fronte normativo, la revisione della legge sugli istituti finanziari introdurrà una licenza specifica per gli istituti cripto, con obblighi di custodia sotto vigilanza diretta della FINMA — ma l’entrata in vigore non è attesa prima del 2027.

Le cose da sapere, in sintesi:

• 1,3 miliardi di dollari rubati alla DeFi nei primi otto mesi del 2026: per la prima volta pesano più le chiavi compromesse dei bug nel codice.
• 575 milioni di dollari (44% del totale) attribuiti al gruppo nordcoreano TraderTraitor in appena 18 giorni, fra Drift e KelpDAO.
• Il 47% dei contratti che usano l’infrastruttura LayerZero gira ancora su un solo nodo di verifica, la stessa configurazione sfruttata nell’attacco a KelpDAO.
• 130 milioni di dollari rubati da wallet hardware Coldcard per un bug del firmware, non per un errore dell’utente.
• La nuova licenza svizzera per gli istituti cripto imporrà standard di custodia, ma non entrerà in vigore prima del 2027.

Chi tiene posizioni rilevanti in DeFi o su wallet hardware farebbe bene a verificare due cose concrete: se il bridge o il protocollo che usa richiede più di un firmatario o nodo di verifica prima di muovere fondi, e se il firmware del proprio wallet è aggiornato all’ultima versione certificata dal produttore. Chi preferisce delegare la custodia a un istituto vigilato dalla FINMA riduce il rischio operativo legato alla gestione diretta delle chiavi, anche se la volatilità di prezzo resta invariata.

Le informazioni su prezzi, flussi ed episodi di sicurezza citati sono aggiornate alla data di pubblicazione e non costituiscono consulenza finanziaria o di sicurezza informatica personalizzata.