Le criptovalute vengono violate con maggiore frequenza, non minore. Il drenaggio della Liquid Network mostra il vero problema: 1,5 milioni di dollari spesi per proteggere 5 miliardi di dollari di attività.
# Perché le criptovalute continuano a essere violate — 1,5 milioni di dollari per proteggere 5 miliardi di dollari
Punti chiave
- Le criptovalute vengono violate con maggiore frequenza, non minore: circa 1,4 miliardi di dollari rubati in 250 attacchi nel 2026, contro 2,7 miliardi in 146 nel 2025 — furti mediamente più piccoli, frequenza molto più alta.
- L'hack della [Blockstream](https://blockstream.com) [Liquid Network](https://liquid.net) ha esposto l'incentivo marcio sottostante: un budget di sicurezza di $1.5 million che protegge $5 billion di asset — una spesa dello 0.03%.
- Il \"white hat\" autoproclamato ha restituito 3,400 BTC e ha tenuto 598.5 BTC (~$47 million) come ricompensa auto‑nominata — circa 30 volte l'intero budget di sicurezza.
- Le chiavi compromesse e il social engineering — non i bug dei contratti intelligenti — hanno superato le vulnerabilità del codice come principale causa delle perdite DeFi per valore in dollari quest'anno.
- La lezione duratura: il rischio di sicurezza è ora un input di primo ordine, valutabile in prezzo, e i sopravvissuti saranno i protocolli che finanziano la sicurezza come un prodotto centrale, non come un ripensamento.
Il 6 settembre 2026, qualcuno è scappato con circa 4,000 Bitcoin — circa $320 million — dal portafoglio federale che sostiene Liquid, la sidechain Bitcoin di Blockstream's. Non è stata una chiave rubata. Il multisig 11-of-15 è rimasto intatto, e le chiavi di autorizzazione del peg‑out non sono mai state toccate. Uno sconosciuto ha trovato una falla in Elements, il codice open‑source su cui gira Liquid, ha coniato L‑BTC che non era supportato da Bitcoin reale, e lo ha riscattato attraverso la porta principale come un cliente normale. La riserva è scesa da 4,200 BTC a 197 BTC in circa 23 minuti.
Poi è arrivata la parte strana. L'attaccante non è scappato. Ha scritto "we are whitehats. contact us on chain" in una transazione Bitcoin e ha iniziato a negoziare un rimborso di $320 million in pubblico, un messaggio OP_RETURN alla volta. Un giorno dopo ha restituito 3,400 BTC — 85% del bottino — e ha tenuto 598.5 BTC, circa $47 million, come ricompensa auto‑nominata.
Ecco il numero che dovrebbe far alzare in cattedra ogni fondatore, trader e LP: il 9 settembre, l'attaccante ha comunicato al mondo che Blockstream aveva allocato solo 1,5 milioni di dollari per proteggere 5 miliardi di dollari di attività. "La vostra negligenza è evidente", hanno scritto, minacciando di trattenere il resto a meno che Blockstream non pagasse una ricompensa del 10%.
Quel rapporto è l'intera storia della sicurezza crypto nel 2026. Non un fallimento tecnico. Un fallimento degli incentivi. Se vuoi capire perché le crypto continuano a subire hack, smetti di leggere le analisi post-mortem dei contratti intelligenti e inizia a leggere il foglio di calcolo del budget.
## Perché la superficie di attacco si è spostata dal codice alle persone?
Per un decennio, il settore ha trattato la sicurezza come un problema di revisione del codice: più revisori, più verifica formale, più ricompense per bug relativi a reentrancy e overflow. Gli attaccanti si sono semplicemente spostati più in alto nella pila. Nel 2026, gli attacchi con chiavi compromesse hanno superato gli exploit dei contratti intelligenti come principale causa di perdite in DeFi in termini di valore in dollari — perché è lì che si trova ora il valore non protetto.
Guarda il singolo furto peggiore dell'anno. Ad aprile, [Drift Protocol](https://drift.trade), il più grande exchange di perpetui su Solana, ha perso circa 285 milioni di dollari. Non era un bug. Era un'operazione di intelligence nordcoreana durata sei mesi (tracciata come UNC4736, o AppleJeus). Gli operatori si sono spacciati per una società di trading quantitativo, hanno incontrato di persona i contributori a conferenze in diversi paesi e hanno depositato oltre 1 milione di dollari del proprio capitale per costruire credibilità. Poi hanno compromesso due contributori — uno tramite un repository di codice malevolo, l'altro tramite una falsa app wallet TestFlight che sfruttava un difetto di esecuzione silenziosa del codice in VSCode e Cursor. I contratti di Drift erano stati auditati da Trail of Bits nel 2022. Audit pulito, svuotato in dodici minuti tramite un multisig 2-of-5 senza timelock.
Stesso schema, giorno diverso: KelpDAO ha perso circa 292 milioni di dollari quando un attaccante ha fornito dati falsi al suo unico verificatore di fiducia. Tectonic ha perso circa 75 milioni di dollari a causa di un collaterale sottile e di un oracolo pump-and-dump. Coldcard ha perso 115–130 milioni di dollari a causa di un bug nel generatore di numeri casuali del firmware. Nessuno di questi era un sofisticato zero-day. Erano punti di fiducia singoli, privi di difesa in profondità.
La frequenza è l'indizio. 1,4 miliardi di dollari in 250 attacchi nel 2026, contro 2,7 miliardi in 146 nel 2025. Meno dollari, molti più incidenti: il furto medio è più piccolo, più rapido e sempre più automatizzato. I ponti e le infrastrutture cross-chain ora rappresentano 26 attacchi (oltre il 10% del totale), contro appena 3 nel 2025. Questa è la professionalizzazione del furto: una lunga coda di attaccanti semi-automatizzati che sfruttano i margini sottoserviti dell'ecosistema.
## Chi vince quando un "white hat" trattiene 47 milioni di dollari?
Il CTO di Ledger, Charles Guillemet, ha definito l'episodio Liquid "più simile a un'estorsione che a un hacking white-hat". Ha ragione sul metodo: drenare prima e negoziare dopo è coercizione, non divulgazione responsabile. Ma la parte scomoda è il numero. Una vulnerabilità che può drenare 320 milioni di dollari in 23 minuti vale milioni secondo qualsiasi standard serio di bounty. L'unico motivo per cui questo viene letto come uno scandalo è che Blockstream non ha mai quantificato il rischio stesso. L'attaccante ha fatto la quantificazione per loro — e, paradossalmente, il mercato sta concordando in silenzio.
I vincitori sono facili da nominare. I ricercatori di sicurezza che da anni chiedono bounty reali hanno appena ricevuto il pitch di reclutamento più forte immaginabile: la prova vivente che il potenziale di trovare il colpo grosso è enorme. Gli auditor, le compagnie di assicurazione e le società di monitoraggio vincono: la domanda dei loro servizi sta per aumentare. Gli attaccanti vincono, ovviamente.
I perdenti: i titolari di L-BTC i cui fondi sono rimasti congelati mentre la rete restava in pausa, fidandosi di una sidechain i cui operatori hanno speso lo 0,03% del valore a rischio per proteggerla. E la reputazione di Blockstream subisce il taglio più profondo: non si trattava di una startup improvvisata, è l'azienda più seria in ambito Bitcoin nel settore, e persino lei ha sottofinanziato la sicurezza di ordini di grandezza.
## È già successo prima — o è una novità?
C'è una lunga storia di hacker che restituiscono i fondi rubati: Poly Network nel 2021 ($610 milioni, tutti restituiti), Euler nel 2023 ($197 milioni, in gran parte restituiti). Ma si trattava di ladri che sono stati scoperti e hanno scelto la restituzione. Ciò che rende Liquid diverso è l'impostazione: l'attaccante si è presentato come un white hat prima ancora che il furto venisse scoperto, poi ha utilizzato i fondi restituiti come leva per estrarre una concessione pubblica.
È una nuova categoria — chiamiamola ransomware con modulo di divulgazione. E funziona solo a causa del problema più profondo e antico: i budget di sicurezza di crypto sono grottescamente mal allocati rispetto al valore a rischio. L'incidente di Liquid è semplicemente la prima volta in cui un attaccante ha armato pubblicamente il budget di sicurezza di un progetto come argomento per il crimine. È un segno di maturazione, in un modo perverso — gli attaccanti ora comprendono l'economia di crypto meglio di molti fondatori.
## Dove sta andando tutto questo nei prossimi tre anni?
Tre previsioni, nessuna delle quali riguarda i prezzi. In primo luogo, la spesa per la sicurezza si professionalizzerà o i protocolli verranno sfruttati. Il rapporto tra $1.5 milioni e $5 miliardi è insostenibile e ora è pubblico; aspettati che i progetti seri convergano su un minimo di punti base a una cifra del TVL allocati alla sicurezza, e che il resto venga spazzato via.
In secondo luogo, il "white hat con una pistola" diventerà una caratteristica riconosciuta — sebbene brutta — del panorama. Che i regolatori lo chiamino estorsione o i tribunali furto, gli incentivi sono bloccati: uno sconosciuto ha trovato un bug critico e ha ricevuto un pagamento 30 volte superiore all'intero budget di sicurezza della vittima. Questo accadrà di nuovo, perché il mercato continua a finanziare il premio.
In terzo luogo, l'assicurazione e l'attestazione diventano il fossato. I protocolli che sopravviveranno alla selezione del 2026–2027 non saranno quelli con i contratti più ingegnosi; saranno quelli con team di sicurezza reali, bounty reali, timelock e copertura. DeFi sta per diventare noiosa — e la noia è esattamente ciò che le istituzioni stanno aspettando.
## Cosa significa questo per i trader?
Trattate il rischio di sicurezza come un input di primo ordine, prezzabile — nello stesso modo in cui trattereste il rischio di liquidità o regolamentare, non come un asterisco. Lo "sconto hack" è reale e si compone: il TVL di Tectonic è crollato da $121.7 million a circa $3 million dopo il suo exploit. Quando un protocollo viene hackerato, la liquidità non torna. L'asimmetria è brutale — non venite compensati per il rischio di coda del parcheggiare capitale in un bridge a singolo verificatore o in un mercato di prestito non auditato.
La concentrazione è la correlazione nascosta. L-BTC, sidechain federate e bridge a singolo verificatore sembrano un'esposizione a "Bitcoin" o "ETH", ma portano un rischio software e di controparte che l'asset base non ha. La chain base non è stata hackerata; lo è stato il wrapper. Se la vostra tesi è "Voglio esposizione a Bitcoin," detenere una versione wrapped o sidechain aggiunge silenziosamente un rischio per cui non venite pagati.
E l'osservazione "picks-and-shovels": il tema ricorrente che si compone in ogni ciclo di hack non è un token — è lo stack di sicurezza. Auditor, assicuratori, società di monitoraggio e i protocolli che finanziano correttamente la sicurezza sono dove si accumula valore duraturo. Non è una raccomandazione; solo una nota su dove si trova ora la risorsa genuinamente scarsa del settore: la fiducia.
## Il conto arriva sempre
Blockstream probabilmente renderà interi i possessori di L-BTC — Adam Back ha detto che il peg sarà coperto 1:1. I soldi, alla fine, torneranno per lo più. Ma la lezione non si cancella: un'industria che ha raccolto miliardi per marketing e lanci di token ha speso $1.5 million per custodire $5 billion — e uno sconosciuto con un editor di testo ha dovuto mostrargli i conti, sotto minaccia, per 30x il budget.
La prossima volta che qualcuno chiede perché le crypto continuano a essere violate, non mostrargli un'analisi post-mortem. Mostragli il foglio di calcolo.
## FAQ
Perché le crypto continuano a essere violate nel 2026?
La causa principale delle perdite è passata dai bug nei contratti intelligenti a chiavi compromesse, verificatori singoli e ingegneria sociale. Gli attaccanti sono saliti nella stack fino ai livelli umano e infrastrutturale, perché è lì che il valore si trova senza protezione.
Il "white hat" della Liquid Network era un vero white hat?
Discutibile. L'attaccante ha restituito l'85% dei fondi ma ha trattenuto circa 47 milioni di dollari e ha minacciato di conservarli senza un premio del 10% — cosa che il CTO di Ledger, Charles Guillemet, e altri hanno definito "più simile a un'estorsione che a un hacking white-hat".
Quanto ha speso Blockstream per la sicurezza?
L'attaccante ha rivelato che Blockstream ha allocato circa 1,5 milioni di dollari per proteggere circa 5 miliardi di dollari di attività su Liquid — circa lo 0,03%.
L'hack di Liquid ha compromesso Bitcoin stesso?
No. Il livello base di Bitcoin è rimasto intatto. Il bug si trovava in Elements, il software che alimenta la sidechain Liquid, e nell'infrastruttura federata attorno al peg. Nessuna chiave multisig è stata compromessa.
Qual è la lezione più importante per gli utenti DeFi?
La sicurezza è ora un rischio di primo ordine e quantificabile. Concentrare i fondi in bridge a verificatore singolo, sidechain federate o protocolli non auditati aggiunge un rischio di coda per il quale non si viene compensati — e i protocolli violati raramente recuperano la propria liquidità.