Le verifiche di sicurezza delle criptovalute perdono fiducia mentre le istituzioni richiedono monitoraggio in tempo reale

Gli investitori istituzionali stanno ampliando i controlli sulla sicurezza delle criptovalute oltre le verifiche dei contratti intelligenti, poiché i fallimenti operativi diventano una fonte sempre più grande di perdite.

Riepilogo

• Le istituzioni richiedono sempre più monitoraggio continuo poiché le verifiche non riescono a catturare rischi chiave, firmatari e infrastrutture.
• Chiavi, firmatari e infrastrutture compromessi hanno causato l'88,3% dei circa 764 milioni di dollari rubati nel secondo trimestre del 2026.
• Solo il 4% dei progetti monitorati ha combinato verifiche, programmi attivi di bug bounty e controlli di monitoraggio di terze parti.

Il Rapporto sulla Sicurezza e Conformità del secondo trimestre 2026 di Hacken ha affermato che i tradizionali indicatori di fiducia, comprese le verifiche precedenti e la storia operativa, non mostravano in modo affidabile quali progetti avrebbero evitato un exploit.

Il rapporto ha monitorato 1.427 progetti e ha scoperto che solo il 9% mostrava prove di monitoraggio di terze parti. Solo il 4% ha combinato il monitoraggio con un bug bounty attivo e una verifica. Hacken ha affermato che chiavi, firmatari e infrastrutture compromessi rappresentavano l'88,3% dei circa 764 milioni di dollari rubati durante il trimestre, spostando l'attenzione verso controlli che rimangono attivi dopo le revisioni del codice.

Hacken ha dichiarato che le istituzioni si stanno chiedendo se i controlli di sicurezza corrispondano al capitale detenuto da un protocollo. Federico Bagiotti, responsabile della gestione del rischio presso Abraxas Capital, ha affermato che "una sicurezza inadeguata rispetto al capitale a rischio" era il problema più probabile che avrebbe portato l'azienda a rifiutare una posizione altrimenti attraente.

Le revisioni istituzionali coprono sempre più cambiamenti nel set di firmatari, garanzie collaterali, fornitori di servizi esterni e piani di risposta agli incidenti. Abraxas controlla anche i timelock, la whitelist degli indirizzi di prelievo, i controlli multiparty e la dipendenza da una singola chiave o verificatore. Queste misure si concentrano sull'accesso privilegiato e sulla prontezza all'emergenza piuttosto che solo sul fatto che i contratti abbiano superato una revisione.

Un rapporto separato di CertiK per il primo semestre del 2026 ha anche scoperto che perdite complessive più basse non significavano che le criptovalute fossero diventate più sicure. Come riportato da crypto.news, le perdite legate alle criptovalute sono diminuite del 46,8% anno su anno a 1,32 miliardi di dollari nel primo semestre, ma i compromessi dei portafogli sono diventati il metodo di attacco più grande nel secondo trimestre. CertiK ha stimato le perdite del secondo trimestre da quella categoria a 807,5 milioni di dollari secondo la propria metodologia.

I progetti di criptovalute verificati hanno comunque fallito al di fuori del codice del contratto

Hacken ha identificato 14 progetti sfruttati durante il secondo trimestre che avevano precedentemente completato verifiche. In molti casi, il fallimento è avvenuto al di fuori del codice del contratto intelligente coperto da una revisione convenzionale. Le aree interessate includevano dispositivi di firmatari, validatori di bridge, sistemi backend, chiavi di amministratore e contratti più vecchi che sono rimasti attivi dopo che i team hanno smesso di usarli.

Come riportato da crypto.news a giugno, il Humanity Protocol ha perso circa 36 milioni di dollari dopo che un malware su un dispositivo di sviluppo ha esposto sette chiavi private. Gli investigatori hanno affermato che l'attaccante ha utilizzato credenziali valide per autorizzare transazioni, mentre i contratti intelligenti del progetto e l'architettura Safe non sono stati sfruttati.

Un modello simile è apparso in due dei più grandi attacchi riportati dell'anno. Crypto.news ha precedentemente riportato che gli incidenti del Drift Protocol e KelpDAO si basavano su ingegneria sociale, dispositivi compromessi e infrastrutture di bridge piuttosto che su difetti diretti dei contratti intelligenti. Insieme, quegli attacchi hanno rappresentato 577 milioni di dollari di perdite.

Le istituzioni richiedono prove continue di sicurezza delle criptovalute

Rajeev Bamra, responsabile della strategia dell'economia digitale presso Moody's Ratings, ha affermato che la resilienza operativa è diventata "la lente pratica" attraverso cui le istituzioni valutano sicurezza, conformità e governance. Sotto questo approccio, una verifica rimane parte della revisione, ma gli investitori cercano anche prove che i team monitorino l'accesso e si preparino per i fallimenti dopo il dispiegamento.

Le revisioni della custodia istituzionale si stanno muovendo nella stessa direzione. Come riportato da crypto.news l'11 luglio, i regolatori europei hanno avviato una revisione dei custodi di criptovalute autorizzati da MiCA, focalizzandosi sulla gestione delle chiavi private, sui controlli delle transazioni, sulla risposta agli incidenti e sui rischi tecnologici di terze parti. Jody Mettler, Chief Operating Officer di BitGo, ha affermato che i clienti istituzionali chiedono sempre più come i custodi segregano gli asset, controllano l'accesso e mantengono i servizi durante lo stress di mercato.

Il dataset di Hacken ha coperto progetti con capitalizzazioni di mercato superiori a 1 milione di dollari elencati tra i primi 50 scambi centralizzati secondo il punteggio di fiducia di CoinGecko. Ha escluso stablecoin, asset incapsulati e asset del mondo reale tokenizzati. La ricerca si è basata su controlli visibili pubblicamente o divulgati, quindi gli accordi di sicurezza privati potrebbero non apparire nei dati.

Il monitoraggio e la prontezza agli incidenti diventano test di allocazione

Il passaggio verso controlli continui non elimina il ruolo delle verifiche dei contratti intelligenti. Il rapporto Q1 2026 di Hacken ha registrato sei protocolli sfruttati che erano stati verificati, incluso uno con 18 verifiche precedenti. L'azienda ha affermato che la sicurezza deve coprire codice, operazioni e infrastrutture durante l'intero ciclo di vita di un progetto piuttosto che terminare quando viene pubblicato un rapporto di verifica.

Per gli investitori, quella revisione più ampia può includere monitoraggio in tempo reale, programmi di bug bounty, progettazione della gestione delle chiavi, separazione dei firmatari e piani di risposta testati. I progetti che non possono mostrare quei controlli potrebbero affrontare più domande da allocatori, assicuratori e controparti prima di ricevere capitale o accesso commerciale, secondo i risultati del secondo trimestre di Hacken.

Dati recenti sulla regolamentazione e sulla sicurezza seguono lo stesso modello. L'ESMA sta testando la resilienza operativa dei custodi autorizzati, mentre CertiK ha scoperto che i compromessi mirati dei portafogli hanno guidato una grande parte delle perdite del 2026. Per le istituzioni che valutano l'esposizione alle criptovalute, la domanda non è sempre solo se un progetto è stato verificato, ma se i suoi controlli continuano a funzionare dopo.

Disclaimer: il presente contenuto è fornito esclusivamente a scopo informativo e di branding generale e non costituisce consulenza finanziaria, di investimento, legale o fiscale. Qualsiasi evento, ricompensa, evento online o informazione correlata menzionata nel presente documento non deve essere considerata una raccomandazione, una sollecitazione o un invito ad acquistare, vendere, fare trading o altrimenti negoziare asset di criptovalute o a utilizzare i relativi servizi. Le criptovalute sono altamente volatili e possono comportare perdite. I servizi e gli eventi online di WEEX potrebbero non essere disponibili in tutte le regioni e sono soggetti alle leggi, ai regolamenti e ai requisiti di idoneità applicabili. Sei responsabile di garantire che il tuo utilizzo dei servizi WEEX sia conforme alle leggi locali e di valutare attentamente i rischi prima di partecipare a qualsiasi attività correlata alle criptovalute.