Cripto sotto attacco: 1,1 miliardi di dollari spariti in sei mesi, ecco cosa protegge davvero chi le detiene in Svizzera

Il primo semestre del 2026 è stato il peggiore di sempre per la sicurezza delle criptovalute. Secondo il report della società di sicurezza on-chain Blockaid, tra gennaio e giugno sono stati sottratti oltre 1,1 miliardi di dollari in 212 attacchi distinti: un record assoluto, con un balzo di 3,4 volte rispetto a tutto il 2025. Per chi detiene bitcoin o altre cripto la domanda non è più teorica: dove sono davvero al sicuro gli averi digitali, e cosa succede se il custode salta?

Il semestre nero della sicurezza on-chain

Il dato più utile del rapporto non è la cifra complessiva, ma la sua origine: il 74% delle perdite è nato da falle operative — chiavi private rubate, phishing, autorizzazioni firmate con leggerezza — e non da difetti nel codice degli smart contract. Gli attaccanti collegati al gruppo Lazarus hanno pesato per circa il 55% del totale; i due colpi maggiori hanno riguardato i protocolli KelpDAO (circa 292 milioni di dollari) e Drift (circa 285 milioni). A livello di ecosistemi, i progetti su Ethereum e Solana sono stati i più colpiti, con perdite rispettivamente attorno a 332 e 326 milioni. I vettori ricorrenti restano i ponti cross-chain — i software che spostano token da una blockchain all’altra — gli exploit sui layer 2 e, appunto, le chiavi compromesse.

Custodial o self-custody: due modi opposti di sbagliare

Chi possiede cripto sceglie, spesso senza saperlo, tra due modelli di rischio. Con la self-custody le chiavi private restano all’utente, di solito su un hardware wallet — un dispositivo fisico tenuto offline: non c’è alcun rischio di controparte, ma nemmeno un helpdesk o un rimborso se le chiavi vengono perse o carpite con un raggiro. Con la custodia affidata a terzi — un exchange o una banca cripto — le chiavi le tiene il fornitore: si guadagna in comodità e recupero dell’accesso, ma ci si espone al rischio che quel terzo venga violato o fallisca. Il dato dei 74% ricorda che, quale che sia il modello, la maggior parte dei furti passa dalla gestione delle chiavi, non dal codice.

Cosa protegge chi custodisce in Svizzera

Qui entra in gioco il quadro elvetico. La legge svizzera sulla tecnologia dei registri distribuiti — la cosiddetta legge DLT, in vigore dal 2021 — prevede una protezione dal fallimento per le cripto in custodia: se un istituto tiene i token segregati e a disposizione del cliente in ogni momento, quegli averi non entrano nella massa fallimentare del custode e restano fuori bilancio. La FINMA — l’autorità federale di vigilanza sui mercati finanziari — ne ha precisato i requisiti nella sua Guidance 01/2026 del 12.01.2026, elencando anche i rischi da presidiare: protezione delle chiavi private, attacchi informatici, dipendenza da terzi e nodi giuridici quando la custodia è delegata all’estero, ammessa solo se il custode straniero è sotto vigilanza equivalente e la legge locale garantisce la stessa protezione. Sono le regole che l’autorità elvetica sta stringendo proprio sul fronte della tutela di chi detiene cripto. I custodi regolati e vigilati dalla FINMA includono Sygnum, AMINA Bank e Bitcoin Suisse; alcune banche cantonali offrono l’accesso appoggiandosi a un custode svizzero.

Le cinque cose da sapere

• Record storico: 1,1 miliardi di dollari rubati in 212 attacchi nel primo semestre 2026 (fonte Blockaid), 3,4 volte l’intero 2025.
• Il 74% delle perdite nasce da falle operative — chiavi compromesse, phishing — non da bug degli smart contract.
• Self-custody: nessun rischio di controparte, ma responsabilità totale; chiavi perse significano fondi persi, senza rimborso.
• Custodia presso una banca cripto svizzera regolata: protezione dal fallimento prevista dalla legge DLT, a condizione che i token siano segregati e tenuti a disposizione del cliente.
• Le cripto detenute vanno comunque dichiarate al valore di mercato al 31.12 e sono soggette all’imposta cantonale sulla sostanza.

Prima di scegliere dove custodire

Il messaggio del semestre nero è meno spettacolare di quanto suggeriscano le cifre: la sicurezza si gioca sulla gestione delle chiavi e sulla qualità del custode, non sull’ultimo protocollo di moda. Conviene verificare lo status del fornitore sul registro della FINMA, controllare il prezzo aggiornato su fonti come CoinGecko o le quotazioni delle criptovalute in tempo reale e, soprattutto, chiarirsi le idee su una sola domanda: chi detiene le chiavi?

Le quotazioni citate sono indicative al momento della pubblicazione. Questo articolo ha finalità informative e non costituisce una consulenza d’investimento.