Perdite di Sicurezza nel Settore delle Criptovalute
Le perdite di sicurezza nel settore delle criptovalute hanno raggiunto 1,1 miliardi di dollari in 212 incidenti verificati durante il primo semestre del 2026, secondo un rapporto pubblicato da Blockaid il 28 luglio. Blockaid ha descritto il numero di incidenti nei sei mesi come un record e ha affermato di aver registrato più exploit durante il primo semestre rispetto all’intero anno 2025.
Tipologie di Attacchi e Perdite
Gli attacchi alla sicurezza operativa hanno causato il 74% del valore rubato, mentre un gruppo associato alla Repubblica Popolare Democratica di Corea ha rappresentato il 55% delle perdite. Blockaid ha anche sottolineato che il numero di incidenti è stato 3,4 volte superiore al totale del 2025, sebbene le aziende di sicurezza utilizzino definizioni e metodi di copertura diversi quando compilano le stime delle perdite nel settore.
Nel primo semestre del 2026, sono stati registrati 1,1 miliardi di dollari di perdite in 212 exploit on-chain, un importo superiore a quello accumulato in tutto il 2025. I dati di Blockaid rivelano da dove provengono le perdite e cosa dovrebbero monitorare i team on-chain nel secondo semestre: le cifre indicano un cambiamento rispetto agli attacchi che dipendono esclusivamente da codice difettoso nei contratti intelligenti.
Dispositivi compromessi, credenziali privilegiate, chiavi private, sistemi di firma e infrastrutture off-chain hanno generato la maggior parte delle perdite misurate. Questi attacchi possono generare transazioni blockchain dall’aspetto valido, poiché le credenziali autorizzate le approvano. Questo schema riduce la protezione offerta solo dagli audit del codice. Gli audit possono identificare difetti nei contratti, ma non possono impedire a un amministratore compromesso di firmare una transazione malevola o di impedire a un verificatore di ponte di fare affidamento su un’infrastruttura compromessa.
Nuovi Vettori di Attacco
Blockaid ha segnalato che sono emersi nuovi vettori di attacco durante il primo semestre e ha avvertito che alcuni di essi potrebbero espandersi nel secondo semestre.
I progetti legati a Ethereum hanno subito perdite di circa 332 milioni di dollari, secondo il rapporto di Blockaid, con le vulnerabilità del codice responsabili di gran parte di quel totale. Il caso più significativo legato a Ethereum è stato KelpDAO, dove gli attaccanti hanno rilasciato 116.500 rsETH, del valore di circa 292 milioni di dollari, da un contratto di ponte dopo aver falsificato un messaggio della catena sorgente.
I progetti legati a Solana hanno subito perdite di circa 326 milioni di dollari, con oltre il 98% derivante da chiavi compromesse e infrastrutture di firma, piuttosto che da bug nei contratti intelligenti, come ha scoperto Blockaid. Drift Protocol e Step Finance hanno rappresentato la maggior parte di quell’importo, mentre incidenti di codice più piccoli hanno colpito progetti come Raydium e Volo.
Analisi degli Incidenti
Il confronto tra le reti non stabilisce che una blockchain sia intrinsecamente più sicura. Invece, riflette quali applicazioni sono state attaccate e come i loro team hanno gestito l’accesso privilegiato. Un singolo grande incidente può anche dominare il totale di rete di sei mesi. Chainalysis ha collegato l’attacco a KelpDAO del 18 aprile al Lazarus Group della Corea del Nord.
La sua indagine ha rivelato che gli attaccanti hanno compromesso nodi RPC interni e interrotto nodi esterni, causando a un sistema con un solo verificatore di accettare un falso evento di burn. Il ponte sul lato Ethereum ha quindi rilasciato rsETH, anche se non erano stati distrutti token corrispondenti sulla catena sorgente.
Come riportato da crypto.news, KelpDAO ha completato la fase operativa del suo piano di recupero il 25 maggio dopo aver trasferito un’ultima tranche di 20.373,72 rsETH nel suo adattatore di ponte.
La coniazione, i riscatti e le ricompense sono ripresi, sebbene le controversie legali e le richieste contestate relative a fondi congelati siano rimaste irrisolte.
Attacchi e Recupero
Drift ha subito un attacco separato di accesso privilegiato il 1° aprile. Chainalysis ha affermato che gli attaccanti hanno utilizzato mesi di ingegneria sociale e transazioni a nonce durevoli pre-firmate per ottenere il controllo amministrativo. L’aggiornamento sul recupero di Drift del 16 aprile ha valutato gli asset rubati a 295,7 milioni di dollari, superiore alla stima iniziale di circa 285 milioni di dollari utilizzata da Blockaid e da diversi investigatori.
In una copertura correlata, crypto.news ha riportato che Step Finance ha chiuso dopo che gli attaccanti hanno compromesso i dispositivi esecutivi e drenato fino a 40 milioni di dollari da asset controllati dal tesoro. L’azienda ha recuperato circa 4,7 milioni di dollari, ma ha affermato che i colloqui di finanziamento e acquisizione non hanno prodotto un percorso sostenibile.
Drift ha proposto un pool di recupero supportato dai ricavi degli scambi, Tether e altri partner. Il suo piano includeva fino a 127,5 milioni di dollari di supporto proposto da Tether, 20 milioni di dollari da altri partner e un separato token di recupero trasferibile. Il protocollo ha affermato che il suo riavvio richiederebbe audit da parte di OtterSec e Asymmetric, dispositivi di firma dedicati, blocchi temporali e un multisig riprogettato.
Il furto rimane un caso attivo on-chain. Come riportato in precedenza, un wallet legato all’exploiter di Drift ha spostato 23.095,1 Ether, del valore di circa 44,4 milioni di dollari, in Tornado Cash tra il 23 e il 24 luglio dopo circa tre mesi di inattività.
Raccomandazioni Future
Blockaid si aspetta che i team si concentrino maggiormente sui controlli dell’intento di transazione, dispositivi di firma isolati, segregazione delle chiavi e monitoraggio attraverso ponti e infrastrutture. Queste misure sono raccomandazioni aziendali, non garanzie.
I prossimi aggiornamenti verificati arriveranno dai termini del token di recupero di Drift e dal programma di rilancio, dal processo di richieste rimanenti di Step Finance, dalle procedure legali legate ai fondi congelati di KelpDAO e da eventuali sequestri di asset annunciati dalle agenzie di enforcement.
