Quasi il 90% dei fondi rubati non può essere recuperato: nel primo semestre del 2026, gli attacchi Web3 si spostano da "codice" a "persone"

Nell'era in cui la realtà sintetizzata dall'AI diventa possibile, ciò che deve essere verificato non è più una singola informazione, ma l'ambiente stesso.

Nel primo semestre del 2026, il settore delle criptovalute ha registrato 182 eventi di sicurezza pubblici, con perdite di circa 956 milioni di dollari. Ciò che è più preoccupante rispetto all'ammontare totale delle perdite è la destinazione dei fondi: secondo SlowMist, solo 18 eventi hanno visto il recupero o il congelamento dei fondi rubati, per un totale di circa 118 milioni di dollari, pari al 12,3% delle perdite totali, mentre quasi il 90% dei fondi rubati non può essere recuperato.

Un altro numero può facilmente essere frainteso: i 956 milioni di dollari rappresentano una diminuzione di quasi il 60% rispetto allo stesso periodo dell'anno scorso, ma ciò non significa che il settore sia diventato più sicuro. La diminuzione delle perdite è quasi interamente dovuta al fatto che l'evento unico di Bybit dell'anno scorso (circa 1,5 miliardi di dollari) non si è ripetuto; il numero degli eventi è effettivamente aumentato di circa il 50% rispetto all'anno precedente. Gli attacchi non sono diminuiti, ma hanno cambiato direzione: da attacchi ai contratti protocollo a attacchi alle persone.

Le due perdite più elevate del primo semestre non sono state ottenute attraverso la violazione di contratti intelligenti: il Drift Protocol ha subito una perdita di circa 285 milioni di dollari a causa di un'infiltrazione di ingegneria sociale durata sei mesi, iniziata con alcune transazioni "invisibili" firmate da un firmatario multi-firma; una vittima di Singapore è stata invitata a una videoconferenza generata dall'AI con alti funzionari governativi, perdendo circa 4,9 milioni di dollari di Singapore. La vulnerabilità più costosa si è manifestata nelle persone.

Questa è una delle valutazioni chiave del "Rapporto semestrale sulla sicurezza Web3 di OKX 2026", pubblicato in collaborazione con SlowMist e OtterSec, e condivide conclusioni simili al "Rapporto sulla sicurezza blockchain e sul contrasto al riciclaggio di denaro di SlowMist per il primo semestre del 2026". Entrambi i rapporti provengono da una piattaforma di scambio e da una società di sicurezza, ma puntano alla stessa conclusione: la frequenza degli attacchi è in aumento, le tecniche si stanno evolvendo e gli obiettivi si stanno spostando da "codice" a "persone".

Le perdite sono diminuite di quasi il 60%, ma le attività di attacco sono aumentate

Un insieme di dati, se analizzato da diverse prospettive, può portare a conclusioni opposte, ed è questo il presupposto per comprendere la situazione della sicurezza di questi sei mesi.

Secondo il rapporto di OKX, che cita le statistiche del database di SlowMist, nel primo semestre ci sono stati 182 eventi, con perdite di circa 956 milioni di dollari; nello stesso periodo del 2025, ci sono stati 121 eventi, con perdite di circa 2,373 miliardi di dollari. Il numero degli eventi è aumentato di circa il 50% rispetto all'anno precedente, mentre l'ammontare delle perdite è diminuito di circa il 60%. La principale ragione della diminuzione dell'ammontare è che l'evento di Bybit del febbraio 2025 (circa 1,5 miliardi di dollari, in cui gli hacker hanno compromesso il computer dello sviluppatore dello strumento di firma Safe{Wallet} e hanno manomesso il sito ufficiale) è un caso estremo. Il rapporto di OKX conclude che, escludendo questo valore anomalo, le perdite comparabili di quest'anno non sono diminuite, ma sono aumentate.

Il rapporto di OKX ha ulteriormente suddiviso le cause degli attacchi in base a due criteri: in base al numero di eventi, le vulnerabilità nei contratti e nella logica rimangono la principale causa, con 85 eventi; ma in base all'ammontare delle perdite, gli attacchi alla supply chain, con circa 298 milioni di dollari, occupano il primo posto, seguiti dalle vulnerabilità nei contratti (circa 152 milioni) e dalla perdita di chiavi private (circa 130 milioni). SlowMist ha riassunto questa caratteristica in otto parole: eventi dispersivi, perdite concentrate. Tra le perdite significative, quelle veramente letali si concentrano in settori chiave come infrastrutture, cross-chain e supply chain. Un appunto sbilanciato è che, sebbene nel primo semestre si siano verificati solo 20 eventi di ponti cross-chain, hanno causato perdite di circa 346 milioni di dollari.

I fondi non vengono più principalmente persi a causa di vulnerabilità nei contratti. Il rapporto di OKX riassume i cambiamenti di questo semestre in tre linee principali: le perdite elevate si verificano sempre più al di fuori dei contratti; gli utenti normali diventano i principali obiettivi degli attacchi; gli agenti AI si trasformano da strumenti a prede. Inoltre, ci sono due indizi che attraversano tutto: l'infiltrazione nella fase di sviluppo della supply chain e il riciclaggio di denaro dei fondi rubati. Di seguito, vengono esaminati uno per uno.

Progetti: le perdite maggiori si verificano in luoghi non coperti dagli audit

I progetti con le perdite più gravi nel primo semestre non erano per lo più non auditati; i punti di fallimento si trovavano esattamente al di fuori dell'ambito di audit: processi di firma, chiavi cloud, nodi di verifica, dispositivi degli sviluppatori. Gli audit possono dimostrare che la logica del contratto è corretta, ma non possono dimostrare che questi aspetti operativi siano sicuri.

KelpDAO: non è stato compromesso il contratto, ma il percorso di verifica. Questa è stata la perdita singola più grande del primo semestre. Secondo OtterSec, l'attaccante ha contaminato i nodi RPC interni di LayerZero mentre lanciava un attacco DDoS contro i nodi esterni onesti. I messaggi cross-chain avrebbero dovuto essere verificati incrociando più nodi indipendenti, ma quel ponte utilizzava all'epoca una configurazione di "1 su 1" con un solo nodo di verifica. L'unico punto di verifica ha ricevuto solo dati falsificati, consentendo infine il rilascio di un prelievo senza supporto di beni reali, con circa 116.500 rsETH trasferiti, di cui circa 75 milioni di dollari sono stati successivamente congelati. La configurazione di un singolo nodo di verifica è stata a lungo considerata ad alto rischio; in passato era solo un avviso teorico nelle revisioni architetturali, ma dopo l'evento KelpDAO, è diventata una perdita reale di quasi 300 milioni di dollari. SlowMist ha aggiunto la destinazione dei fondi rubati: LayerZero ha attribuito l'evento al gruppo secondario Lazarus TraderTraitor, e i token rubati sono stati successivamente utilizzati come garanzia, prestando circa 236 milioni di dollari di beni reali (WETH) su piattaforme di prestito come Aave, scatenando temporaneamente una crisi di liquidità nel mercato DeFi.

Drift: un'induzione alla firma durata sei mesi. Il suo meccanismo merita di essere spiegato: un nonce durevole equivale a una ricevuta di transazione "pre-firmata, riscattabile in qualsiasi momento in futuro". L'attaccante, fingendosi un'agenzia di trading, ha gestito un deposito reale di oltre 1 milione di dollari per sei mesi, inducendo il firmatario a pre-firmare tali transazioni di gestione. Al momento della firma, non si vedeva alcun impatto; quando il progetto ha successivamente modificato la soglia multi-firma, si è aperto un intervallo privo di protezione da timelock (un blocco temporale: le operazioni sensibili devono essere pubblicate e ritardate prima di entrare in vigore), l'attaccante ha trasmesso le transazioni firmate in anticipo, completando 31 prelievi in 12 minuti e portando via oltre la metà dei beni bloccati. La lezione centrale di questo evento è che le transazioni "senza impatto" al momento della firma non significano che non saranno riscattate in futuro; firme cieche, pre-firme e transazioni di gestione non interpretabili devono essere considerate operazioni ad alto rischio.

Il ritratto di un punto di fallimento. La chiave AWS di Resolv Labs è stata rubata, consentendo all'attaccante di emettere circa 80 milioni di token non ancorati; Step Finance ha subito un attacco ai dispositivi dei dirigenti, e le chiavi private sono state utilizzate per svuotare il tesoro; Humanity Protocol ha visto i dispositivi degli sviluppatori infettati da malware, con chiavi private fuori controllo. SlowMist ha menzionato che l'analista on-chain ZachXBT ha scoperto che i fondi rubati presentavano comportamenti di miscelazione, escludendo praticamente la possibilità di un attacco interno, puntando nuovamente verso Lazarus.

Il rapporto di SlowMist ha anche registrato un insieme di casi più fondamentali, portando gli attacchi a un livello di implementazione ingegneristica crittografica. Il comune denominatore di tre eventi è che le vulnerabilità non rientrano nell'ambito di copertura degli audit di codice.

• Taiko (22 giugno, circa 1,7 milioni di dollari): una chiave privata di firma è stata erroneamente inviata a un repository pubblico di GitHub, consentendo all'attaccante di falsificare la prova di stato della rete di secondo livello e ottenere il rilascio di fondi, con il token TAIKO che è sceso di oltre il 20% nel breve periodo.

• SecondFi / ex Yoroi (21-23 giugno, circa 2,4 milioni di dollari): l'implementazione dell'algoritmo di firma mancava di un passaggio necessario di mascheramento casuale, consentendo a una singola firma on-chain di ricavare l'intera chiave privata, con 374 indirizzi rubati. Il difetto derivava da un componente di terze parti non auditato introdotto due settimane prima dell'incidente.

• THORChain (15 maggio, circa 10,7 milioni di dollari): la chiave del tesoro era gestita da più nodi (firma a soglia), con l'intento che nessun singolo nodo possedesse l'intera chiave; ma un nodo malevolo ha raccolto progressivamente frammenti di chiave durante più cicli di firma normali, ricostruendo infine l'intera chiave.

Dalla verifica cross-chain, alle chiavi cloud, agli algoritmi di firma, questi casi mostrano diverse forme di un unico fallimento: se esiste un nodo in un percorso critico in grado di decidere in modo indipendente la destinazione dei fondi, diventa il primo obiettivo per gli attaccanti.

Basandosi sulla stessa valutazione, OKX non verifica solo "se la transazione è stata avviata dall'utente", ma si concentra anche sul far comprendere all'utente le conseguenze della transazione prima della firma. Intorno a scenari ad alto rischio come nonce durevoli e cambiamenti di proprietà dell'account, OKX ha bloccato o avvisato oltre 4 milioni di operazioni ad alto rischio nel primo semestre, proteggendo un ammontare totale di circa 526 milioni di dollari, e ha analizzato oltre 50.000 metodi on-chain, traducendo i calldata difficili da comprendere in "quali beni saranno modificati da questa transazione e quali autorizzazioni saranno concesse". È importante notare che questa capacità può solo ridurre, ma non eliminare il rischio; le piattaforme di scambio e i fornitori di servizi di portafoglio sono di per sé i principali obiettivi di attacco, e l'evento di Bybit del 2025 è stato causato dalla compromissione dello strumento di firma, nessuna delle parti può dichiarare di essere immune.

Lato utente: gli attacchi iniziano dai punti di accesso più familiari

Quando il costo degli attacchi ai protocolli aumenta, gli attaccanti si rivolgono agli utenti. Secondo il rapporto di OKX, oggi i punti di accesso agli attacchi sono spesso situazioni in cui gli utenti sono meno vigili: app store, risultati di ricerca in cima, account di amici, software di conferenza, processi di assunzione.

• Le estensioni del browser malevole utilizzano un modello di "shell locale, avvelenamento cloud": l'estensione stessa non contiene logica malevola e può superare la revisione statica dell'app store; la vera pagina di phishing viene inviata in tempo reale da un server remoto e può cambiare dominio in qualsiasi momento (SlowMist ha catturato a maggio un'estensione simile che imitava TronLink). Una volta che l'utente inserisce la frase di recupero su tali pagine, il controllo dei beni viene trasferito.

• Il avvelenamento degli annunci di ricerca è più vicino alle operazioni quotidiane. In un caso registrato dal rapporto di OKX, un utente, dopo aver acquistato un nuovo computer, ha cercato strumenti di sviluppo, cliccando su un annuncio a pagamento in cima ai risultati di ricerca, e seguendo le istruzioni della pagina ha eseguito un "comando di installazione" che in realtà ha distribuito un trojan di cattura degli appunti; successivamente, quando l'utente ha tentato di trasferire circa 20.000 dollari, l'indirizzo del destinatario è stato automaticamente sostituito. La difficoltà di difendersi da tali attacchi risiede nel fatto che la vittima ha eseguito solo operazioni comuni come "cercare il sito ufficiale, scaricare strumenti, copiare comandi".

• Le truffe nei colloqui di lavoro seguono il percorso "ricognizione - profilazione - attacco mirato": gli aggressori si spacciano per reclutatori tecnici, chiedendo ai candidati di condividere lo schermo e aprire il portafoglio per "confermare l'esperienza nell'uso di DeFi", registrando in realtà l'indirizzo del portafoglio, le posizioni e i protocolli utilizzati. Successivamente, creano pagine di airdrop false basate sui protocolli realmente utilizzati dalle vittime, inviando informazioni di phishing personalizzate. In un caso riportato da OKX, la vittima ha subito una perdita di circa 88.000 dollari.

Ci sono anche due nuove tecniche da tenere d'occhio. La prima è la falsa "verifica di sicurezza 2FA": gli aggressori inviano email spacciandosi per l'ufficiale del portafoglio, utilizzando un dominio contraffatto che differisce dall'originale di un solo carattere, creando un senso di urgenza con un conto alla rovescia, inducendo l'utente a inserire la frase di recupero per "completare la verifica". La seconda è la frode nei processi aziendali: utilizzando scenari come "audit esterni" o "verifica della proprietà dei token" come esca, inviano allegati malevoli (un campione analizzato da SlowMist mascherava uno script come documento con doppia estensione), che, una volta aperti, si travestono da aggiornamenti di sistema per rubare password, richiedendo successivamente permessi per fotocamera, registrazione dello schermo e monitoraggio della tastiera. L'obiettivo finale è spesso l'accesso ai terminali di lavoro e ai servizi cloud, piuttosto che ai portafogli personali.

Per quanto riguarda il primo caso, due rapporti forniscono un avviso comune:

Qualsiasi pagina che richieda di inserire la frase di recupero per verifiche, autenticazioni, ripristini o aggiornamenti è una truffa. La frase di recupero non è un codice di verifica, ma il controllo stesso delle risorse; nessun portafoglio legittimo richiederà mai la frase di recupero tramite una pagina web.

Poiché molte perdite non iniziano con transazioni on-chain, ma piuttosto con applicazioni malevole o siti di phishing precedenti, OKX ha spostato la protezione sui dispositivi e sugli ingressi di accesso: il suo assistente di scansione della sicurezza ha completato oltre 200.000 rilevamenti di rischio, scoprendo oltre 60.000 applicazioni ad alto rischio; per quanto riguarda i siti di phishing e le DApp malevole, ha bloccato oltre 7 milioni di accessi a siti a rischio, cercando di completare il blocco prima che gli utenti inseriscano la frase di recupero o colleghino il portafoglio.

Prima che gli aggressori entrino in contatto con gli utenti, una parte significativa del rischio è già stata radicata in fasi precedenti - la catena di fornitura del software.

Catena di fornitura: non è il pacchetto software a essere avvelenato, ma la fiducia stessa

La peculiarità dell'avvelenamento della catena di fornitura è che la vittima non commette alcun errore, ma installa semplicemente una dipendenza, aggiorna una versione o visita un dominio ufficiale come al solito. Questo è il capitolo su cui SlowMist si sofferma di più, con tre casi rappresentativi che mostrano l'evoluzione di tali attacchi in termini di ampiezza, profondità e altezza.

• Ampiezza: il worm Shai-Hulud. A metà maggio, un account ha pubblicato 637 versioni malevole relative a 317 nomi di pacchetti in 22 minuti, colpendo componenti popolari come echarts-for-react (oltre 3,8 milioni di download al mese) e size-sensor (oltre 4,2 milioni di download al mese). I pacchetti malevoli attivano un payload offuscato durante l'installazione, raccogliendo sistematicamente informazioni sensibili come credenziali AWS, GCP, Azure, chiavi di cluster Kubernetes, chiavi SSH e inviandole in modo crittografato, mentre integrano un modulo di auto-propagazione per diffondersi come un worm, e hanno anche meccanismi di persistenza per Claude Code e VS Code. Gli obiettivi di furto non sono più singoli pacchetti software, ma i permessi dell'intero flusso di sviluppo.

• Profondità: la trasmissione a strati della catena di fiducia. A marzo, la libreria Python LiteLLM, con 97 milioni di download al mese, è stata attaccata. Gli aggressori non hanno direttamente compromesso la libreria, ma hanno prima avvelenato lo strumento di scansione della sicurezza Trivy su cui si basa il suo processo di costruzione, rubando così la chiave di pubblicazione e inviando versioni malevole. Gli sviluppatori si fidano di LiteLLM, LiteLLM si fida di Trivy, e Trivy è stato compromesso, il che ha trasformato uno strumento di sicurezza che dovrebbe garantire la protezione in un anello della catena di attacco. Anche il caso di avvelenamento del CDN ufficiale di Apifox monitorato da SlowMist nello stesso mese è simile: gli aggressori hanno modificato gli script ufficiali, inserendo codice malevolo con timer casuali, che si attiva solo dopo un ritardo di mezz'ora a tre ore, rendendo difficile per gli utenti associare l'anomalia a operazioni specifiche. Ciò dimostra che "la fonte ufficiale" non è più sinonimo di "sicurezza".

• Altezza: il "pensiero dell'attacco" degli aggressori. Il Chief Information Security Officer di SlowMist, 23pds, ha lanciato un allerta ad aprile: il sottogruppo Lazarus HexagonalRodent ha usato offerte di lavoro remote ben retribuite come esca per indurre gli sviluppatori a eseguire codice con backdoor. Secondo il rapporto di OKX, questo gruppo ha ampiamente utilizzato ChatGPT e Cursor per generare codice e discorsi, creando siti web aziendali falsi e identità di dirigenti, e persino utilizzando l'IA per "autoverificare" il proprio codice malevolo per evitare il rilevamento; in un solo trimestre ha rubato dati di portafoglio da oltre 2.700 sistemi di sviluppatori. Nel frattempo, il codice generato dall'IA sta anche creando nuovi rischi; secondo un rapporto di OKX che cita i dati di OtterSec, il Georgia Tech ha attribuito 35 dei 74 CVE di marzo al codice generato dall'IA, e una scansione di circa 1.400 applicazioni "generate casualmente" ha rivelato 2.038 vulnerabilità gravi e oltre 400 chiavi esposte. "Funzionalità disponibile" non equivale a "pronto per l'ambiente di produzione".

Altri eventi simili includono versioni anomale di node-ipc che sono apparse dopo 21 mesi di inattività e il TrapDoor che ha avvelenato tre ecosistemi diversi. Tutti questi eventi puntano a una conclusione comune: in passato, la protezione si concentrava sull'audit del codice, oggi è necessario auditare anche le fonti di fiducia. Questo è particolarmente cruciale per l'ecosistema Agent, che legge, installa ed esegue attivamente plugin esterni. Sulla base di ciò, OKX ha stabilito un meccanismo di revisione e ispezione periodica per l'accesso ai plugin nel portafoglio Agentic, che copre la sicurezza del codice, l'ambito dei permessi e le dipendenze esterne, anticipando il giudizio su "se la dipendenza è affidabile" prima del lancio del plugin.

IA: dalla falsificazione di singoli contenuti alla sintesi di un intero ambiente

Collegando i contenuti precedenti, possiamo vedere un filo conduttore implicito: l'esterno ha una fiducia innata nei "sistemi più intelligenti". Il prossimo errore collettivo che si sta formando è: gli Agent sono più affidabili degli esseri umani. Questa percezione non è stata corretta da un numero sufficiente di incidenti, ma il costo è già evidente.

L'evento Bankr di maggio è un caso che sembra quasi non essere un "invasione": gli aggressori non hanno rubato chiavi private, non hanno attaccato contratti, non hanno compromesso server, ma hanno semplicemente chiesto a Grok di tradurre un messaggio in codice Morse. BankrBot è un agente IA implementato sulla piattaforma X, in grado di eseguire automaticamente transazioni on-chain in base a comandi in linguaggio naturale. Secondo l'analisi di SlowMist, gli aggressori hanno prima inviato un NFT di adesione a un portafoglio associato, attivando la sua modalità ad alta autorizzazione, quindi hanno inviato un messaggio in codice Morse chiedendo a Grok di tradurre; dopo che Grok ha completato la decodifica, ha @BankrBot, il quale ha eseguito direttamente l'istruzione di trasferimento nascosta (circa 3 miliardi di token DRB) come un comando affidabile. La perdita è stata di circa 150.000-200.000 dollari (SlowMist la stima a circa 175.000 dollari), e circa l'80% è stato recuperato successivamente. Né Grok né BankrBot presentavano vulnerabilità nel senso tradizionale, ma ciò che è realmente fallito è il confine di fiducia non verificato tra i due sistemi automatizzati. Quando un Agent ha la capacità di firmare e trasferire, un comando malevolo mascherato da input normale può trasformarsi in una perdita reale di asset.

SlowMist classifica gli attacchi agli Agent in base alla loro catena di cognizione ed esecuzione in quattro livelli, ognuno dei quali ha casi reali corrispondenti:

• Livello di input: iniezione di suggerimenti indiretti. Incorporare comandi malevoli nei contenuti esterni che l'Agent legge attivamente, l'evento Bankr è un esempio di questo tipo.

• Livello di memoria: contaminazione della memoria. La verifica di Palo Alto Networks Unit 42 ha dimostrato che è possibile scrivere regole malevole nella memoria a lungo termine dell'Agent (ad esempio, contrassegnare l'indirizzo dell'aggressore come "indirizzo di pagamento comune"), e continuare a essere efficaci nelle sessioni successive.

• Livello degli strumenti: penetrazione dei permessi. Nell'evento "Claw Chain" di OpenClaw rivelato a maggio, la società di sicurezza Cyera ha scoperto quattro vulnerabilità sfruttabili in sequenza (con un punteggio di gravità massimo CVSS 9.6), che possono essere collegate per ottenere il controllo completo dell'ambiente di esecuzione.

• Livello della catena di fornitura: il centro plugin di OpenClaw manca di revisione, le skill malevole si mascherano da documenti di descrizione delle funzionalità, nascondendo comandi nel codice e utilizzando un "approccio a due fasi" per richiamare dinamicamente il vero payload malevolo da remoto.

Il cambiamento più profondo che l'IA apporta agli scenari di phishing è l'aggiornamento della frode da "falsificazione di singoli contenuti" a un'intera operazione di "sintesi della realtà". Secondo un rapporto di OKX che riporta le rivelazioni di Check Point sull'operazione "Il mondo di Truman", gli aggressori introducono le vittime in un gruppo di investimento privato, dove gli "esperti" e gli "investitori" sono tutti impersonati da IA, pubblicando continuamente analisi, mostrando guadagni e interagendo in tempo reale; le vittime non affrontano un singolo truffatore, ma un ambiente falsificato con una struttura sociale e di fiducia completa. Il caso della video conferenza di Singapore menzionato all'inizio (con il primo ministro, il presidente e i rappresentanti dell'autorità monetaria generati dall'IA presenti contemporaneamente, con una perdita di circa 4,9 milioni di dollari di Singapore) è una forma estrema della stessa tecnica.

Di conseguenza, l'obiettivo degli attacchi è cambiato radicalmente: non è più l'utente a dover giudicare singole informazioni, ma la sua percezione della veridicità dell'intero ambiente. La valutazione che "le vulnerabilità si trovano nelle persone" dovrebbe essere ulteriormente estesa; quando le macchine iniziano a sostituire gli esseri umani nel prendere decisioni, il confine del rischio si espande da "persone" a tutti i passaggi di fiducia predefiniti, inclusi i confini di fiducia tra macchine. La difesa tradizionale basata sul "riconoscimento di informazioni sospette" sta diventando obsoleta.

Nella risposta, l'industria ha raggiunto un consenso: gli Agent possono organizzare transazioni in modo più intelligente, ma il loro processo di esecuzione deve essere soggetto a vincoli più rigorosi. SlowMist ha integrato le capacità di sicurezza nel processo operativo degli Agent; il suo MistEye Security Gate fornisce un meccanismo di blocco rigido "prima di rilevare, poi di eseguire" per agenti di codifica come Claude Code e Cursor, mentre MistTrack Skills, basato su oltre 400 milioni di etichette di indirizzi on-chain, coprendo 19 principali blockchain pubbliche, completa la verifica del rischio di riciclaggio di denaro prima del trasferimento. Anche l'approccio di OKX è quello di non affidare completamente la sicurezza al giudizio dell'Agent stesso: indipendentemente da come viene generata la transazione, verrà effettuata una verifica indipendente del rischio prima della firma e della trasmissione; se viene determinato che esiste un rischio, verrà richiesta una conferma secondaria o bloccata direttamente.

Flusso di fondi: solo circa il 12% può essere recuperato, il riciclaggio è altamente industrializzato

Tornando ai numeri all'inizio. I dati sulla lotta al riciclaggio e sulla regolamentazione di questo capitolo provengono principalmente dal rapporto di SlowMist: nel primo semestre, solo 18 eventi hanno portato al recupero o al congelamento di fondi, coinvolgendo circa 389 milioni di dollari rubati, di cui circa 118 milioni di dollari sono stati recuperati o congelati, pari al 12,3% delle perdite totali. La maggior parte dei fondi rubati, una volta trasferiti, è difficile da recuperare, e la causa principale è che il passaggio successivo di riciclaggio è già altamente industrializzato.

Prendendo come esempio Lazarus, la sua catena di riciclaggio è interconnessa: innanzitutto, attraverso protocolli di privacy come Umbra, viene interrotta l'associazione on-chain, quindi tramite protocolli cross-chain senza registrazione come THORChain, viene scambiata in Bitcoin (liquidità abbondante e facile da frazionare), successivamente i fondi vengono distribuiti a migliaia di nuovi indirizzi, elaborati tramite servizi di mixing come Sinbad, YoMix e Wasabi, e infine convertiti in valuta fiat attraverso sportelli OTC in Cina o reti di scambio russe (come Garantex e il suo successore Grinex). Se gli asset rubati sono token come rsETH, vengono prima impegnati in protocolli DeFi per prestare asset reali prima di essere scambiati; i fondi rubati da KelpDAO seguono proprio questo percorso. Una volta che i fondi entrano nella fase cross-chain e di mixing, la finestra per il recupero si chiude praticamente.

La composizione dei flussi di fondi nei protocolli di privacy conferma indirettamente: secondo le statistiche di SlowMist basate su Dune, nel primo semestre, i principali protocolli di privacy hanno accumulato circa 974 milioni di dollari, di cui Tornado Cash rappresenta circa il 71%, Railgun circa il 23% e quasi il 90% dei flussi è in stablecoin. L'altra faccia del crimine si manifesta nella "servitizzazione" degli strumenti: sulla piattaforma di "Drain-as-a-Service" tracciata da SlowMist, il Rublevka Team ha rubato oltre 10 milioni di dollari dal 2023, completando almeno 240.000 transazioni di furto di successo e offrendo fino all'80% di commissione ai suoi affiliati; StepDrainer ha messo in vendita un intero set di strumenti di phishing, con il codice sorgente completo a circa 750 dollari. La soglia di accesso agli strumenti di attacco è scesa a livelli molto bassi.

Le restrizioni normative si stanno stringendo e iniziano a mirare con precisione ai nodi chiave dei canali di riciclaggio. Nella dinamica analizzata da SlowMist, le tre misure che hanno il maggiore impatto sulla catena sopra citata sono: la 20ª tornata di sanzioni dell'UE contro la Russia che vieta per la prima volta il commercio con fornitori di servizi crittografici russi, mirando a canali di uscita come Garantex e Grinex; il divieto totale di trading di monete di privacy a Dubai DIFC, mirato alla fase di mixing; e le nuove normative di febbraio di otto ministeri cinesi che stabiliscono per la prima volta che non è consentito emettere stablecoin ancorate allo yuan all'estero senza approvazione. Altre misure proseguono nella stessa direzione, come il rilascio delle prime licenze per emittenti di stablecoin a Hong Kong, la Corea del Sud che prevede di multare gli scambi colpiti da attacchi hacker fino al 10% dell'importo rubato, e l'entrata in vigore della prima normativa sulle stablecoin negli Stati Uniti con il GENIUS Act. Il punto di partenza della catena di riciclaggio è spesso un indirizzo malevolo o un'autorizzazione ad alto rischio; il rapporto di OKX sottolinea anche che la sua capacità di KYS continuerà a identificare indirizzi anomali, token malevoli e autorizzazioni ad alto rischio, cercando di completare il marchio di rischio prima che i fondi entrino nei canali di mixing e cross-chain.

Conclusione: spostare la linea di difesa prima della conferma

Nel momento in cui il firmatario di Drift preme il tasto di conferma, tutte le difese perdono significato. La maggior parte delle lezioni del primo semestre del 2026 si è verificata prima di questa azione di "conferma": alcune persone hanno firmato transazioni che non hanno compreso, alcuni sistemi hanno concesso permessi eccessivi, alcuni team hanno fidato in fonti di dati errate e alcuni utenti hanno creduto a travestimenti abbastanza realistici.

Sia che si tratti del principio di OKX di "comprendere prima di firmare, evitare rischi singoli, verificare prima di credere", sia che si tratti dell'approccio di SlowMist di "verificare prima, fidarsi dopo", entrambi puntano nella stessa direzione: spostare il giudizio prima che l'azione si verifichi. Questo può essere riassunto in tre elenchi.

Per i progetti: le transazioni chiave non dovrebbero solo confermare "chi firma", ma anche confermare "se il firmatario comprende le conseguenze". Operazioni come multi-firma, aggiornamenti di contratto, cambiamenti di proprietario e configurazioni cross-chain dovrebbero avere processi che siano interpretabili, simulabili e verificabili; le uscite di fondi di grande valore e le modifiche di autorizzazione dovrebbero avere timelock e allerta per anomalie. Non dovrebbe essere permesso a nessun singolo passaggio di decidere in modo indipendente la destinazione dei fondi, come un RPC, un nodo di verifica, una chiave cloud o un indirizzo di amministratore. La scansione dovrebbe essere integrata nei processi normali; le richieste relative a fondi, autorizzazioni e distribuzioni non dovrebbero essere confermate solo tramite un singolo canale; videoconferenze e account di amici non costituiscono prove di identità.

Per gli utenti comuni: le transazioni che non si comprendono non dovrebbero essere firmate. I grandi asset e i portafogli di interazione quotidiana dovrebbero essere separati; le autorizzazioni non utilizzate dovrebbero essere revocate regolarmente, e si deve prestare particolare attenzione alle autorizzazioni illimitate, alle operazioni Permit/Permit2, poiché la maggior parte degli attacchi non trasferisce immediatamente gli asset, ma prima ottiene l'autorizzazione e poi agisce quando si presenta l'opportunità. Qualsiasi pagina che richiede una frase di recupero è una truffa; qualsiasi richiesta di controllo remoto, condivisione dello schermo, installazione di software di conferenza sconosciuto o esecuzione di comandi terminali deve essere verificata in anticipo.

Per gli utenti e sviluppatori di Agent: il filtraggio degli input, il sandboxing delle chiamate agli strumenti, la classificazione delle autorizzazioni, la conferma secondaria delle operazioni sensibili e la verifica prima dell'esecuzione sono configurazioni di base per qualsiasi Agent che gestisca fondi, e non opzioni facoltative. Non si dovrebbero considerare le parole chiave del sistema come misure di controllo della sicurezza; l'Agent dovrebbe essere responsabile della generazione delle soluzioni, mentre un sistema di regole non negoziabili dovrebbe essere responsabile dell'autorizzazione.

Il primo semestre del 2026 non rappresenta un miglioramento complessivo della situazione della sicurezza, ma una migrazione sistematica del paradigma degli attacchi, da codice di contratto a persone, infrastrutture e fiducia al di fuori del codice. Nell'era in cui la realtà sintetica diventa possibile, ciò che deve essere verificato non è più un'informazione specifica, ma l'ambiente stesso. L'obiettivo della sicurezza non è mai stato quello di richiedere a ogni partecipante di diventare un esperto, ma di intercettare i rischi nei punti più vulnerabili prima della conferma.

Ciò che deve essere riparato nel primo semestre del 2026 non è un contratto specifico, ma le persone e i processi stessi.