Le perdite degli exchange centralizzati e della DeFi dominano gli hack crypto del 2026 nonostante i fallimenti dei wallet hardware

Gli hack crypto hanno prodotto circa 2,35 miliardi di dollari in perdite nette fino ad ora nel 2026, dopo congelamenti e restituzioni, secondo un rapporto di Lightning.news condiviso con Bitcoin Magazine. Un ricercatore di sicurezza di nome Stacy Muur ha pubblicato su X un elenco di "protocolli che sono stati hackati per più di 50.000 dollari nel 2026." 230 protocolli fino ad oggi. "La sicurezza crypto è assolutamente compromessa." Solo a settembre si è registrato circa 768 milioni di dollari nel conteggio di Muur, guidato principalmente da exchange centralizzati e DeFi piuttosto che dai wallet hardware di auto-custodia di Bitcoin, che hanno ricevuto una copertura mediatica significativa all'epoca.

La perdita singola più grande è stata il drenaggio di circa 387,5 milioni di dollari da wallet caldi e tiepidi di Bitget il 24 settembre. L'exchange e aziende come Chainalysis, Elliptic e TRM Labs hanno collegato l'incidente alla Corea del Nord, citando modelli IP coerenti con l'uso precedente di VPN collegate alla DPRK, sovrapposizioni on-chain con wallet legati ad attività precedenti del Lazarus Group e TraderTraitor, incluso il furto di Bybit del 2025. Gli attaccanti hanno utilizzato prodotti di sicurezza di terze parti per iniettare comandi di prelievo fraudolenti senza prendere le chiavi private.

La Liquid Network, il sidechain Bitcoin di Blockstream, ha subito il colpo successivo più grande quando gli attaccanti hanno sfruttato un bug del software Elements all'inizio di settembre per coniare circa 4.000 L-BTC non garantiti e scambiarli per circa 4.000 bitcoin reali, valutati vicino a 320 milioni di dollari all'epoca. Gli attori autodefiniti white-hat hanno restituito 3.400 BTC dopo negoziazioni condotte on-chain tramite messaggi OP_RETURN e hanno tenuto circa 600 BTC. Nessuna chiave di federazione è stata compromessa. La perdita è derivata da un tipo di bug inflazionistico nel protocollo della rete Liquid.

Samson Mow ha successivamente definito l'episodio come parte di un "valanga di attacchi assistiti dall'IA" che aveva già raggiunto altri software adiacenti a Bitcoin prima di colpire Liquid. La rete è tornata operativa ora, avendo coperto le perdite, presumibilmente da parte degli investitori.

Le piattaforme DeFi hanno mostrato lo stesso schema di perdite concentrate e di alto valore. Drift Protocol ha perso circa 285-296 milioni di dollari in un compromesso di governance e multisig ad aprile che ha coinvolto mesi di ingegneria sociale. Un'indagine commissionata dal progetto ha attribuito l'operazione ad attori nordcoreani.

Il bridge rsETH di KelpDAO, alimentato da LayerZero, è stato drenato di circa 292 milioni di dollari in token non garantiti dopo che un design a singolo verificatore è stato sovvertito. LayerZero ha dichiarato che indicatori preliminari puntavano al Lazarus Group della DPRK, specificamente a TraderTraitor.

Tectonic su Cronos ha visto circa 120,4 milioni di dollari presi in prestito contro collaterali manipolati a fine agosto. I validatori hanno successivamente riavvolto la catena e recuperato la maggior parte, anche se diversi milioni di dollari già trasferiti fuori rete non sono stati ripristinati.

Gli incidenti che coinvolgono wallet hardware Bitcoin sono stati più piccoli in aggregato nonostante la vasta copertura mediatica. Galaxy Research ha collocato i valori dell'hack Coinkite RNG nell'ordine di circa 1.596-1.789 BTC, per un totale di circa 100-130 milioni di dollari, con stime superiori che si avvicinano a 2.055 BTC.

Le perdite di Ledger di circa 86-102 milioni di dollari sono state rintracciate a dispositivi venduti tramite il rivenditore autorizzato del sud-est asiatico CryptoBilis, dove un impianto hardware non autorizzato ha catturato frasi di recupero durante la configurazione, un attacco alla catena di approvvigionamento. L'azienda ha dichiarato che i casi confermati erano limitati alla catena di approvvigionamento di quel rivenditore e che i propri sistemi e vendite dirette non erano stati colpiti, sebbene ci siano rapporti non confermati di tali dispositivi compromessi che siano arrivati ai mercati tedeschi. Combinati, tuttavia, questi eventi legati all'hardware rimangono ben al di sotto degli incidenti più grandi di CEX e DeFi.

L'anno ha coinciso anche con il dispiegamento pratico di agenti di codifica AI in grado di scansionare i codici sorgente per vulnerabilità e automatizzare lo sviluppo di exploit. Muur ha dichiarato che "l'IA sta sicuramente rendendo molto più facile trovare e sfruttare i bug. Penso che stiamo entrando in una corsa agli armamenti di cybersicurezza piuttosto seria."

I rapporti notano che gli exploit dei difetti di codice sono accelerati dopo il rilascio di febbraio di modelli come GPT-5.3-Codex e Claude Opus 4.6, che hanno mostrato alti tassi di successo su benchmark di bug dei contratti intelligenti a basso costo.

OpenAI ha divulgato casi di test interni in cui gli agenti hanno accesso a fondi non autorizzati della rete di test o hanno eluso i controlli per completare i compiti. La maggior parte dei furti più grandi dell'anno si è ancora basata su vettori tradizionali come compromissione delle chiavi, ingegneria sociale e difetti infrastrutturali, ma la barriera abbassata per scoprire e armare i bug aggiunge un nuovo livello di rischio, particolarmente per sistemi di contratti intelligenti complessi e sidechain.

Il layer base di Bitcoin stesso non è stato la fonte di queste perdite. La maggior parte dei danni del 2026 si è concentrata nell'infrastruttura dei wallet caldi di CEX, nella governance DeFi, nei design degli oracoli e nel codice del sidechain Bitcoin, mentre i wallet hardware di auto-custodia puri, anche se imperfetti, hanno rappresentato una quota nettamente più piccola. Tuttavia, sono emerse richieste per un aggiornamento delle raccomandazioni di auto-custodia da parte dei leader del settore, spingendo verso wallet multisig multivendor come il futuro di un'industria di nicchia.

Questo contenuto è fornito a solo scopo informativo generale e non costituisce consulenza finanziaria, di investimento, legale o fiscale. Qualsiasi evento, ricompensa, promozione online o informazione correlata menzionata nel presente documento non deve essere considerata una raccomandazione, una sollecitazione o un invito ad acquistare, vendere, fare trading o altrimenti negoziare criptovalute. Le criptovalute sono altamente volatili e possono comportare perdite. La disponibilità dei servizi, dei prodotti e degli eventi correlati di WEEX può variare a seconda della regione. È tua responsabilità assicurarti che la tua partecipazione sia conforme alle leggi e ai regolamenti locali applicabili.