L'ondata di exploit dell'agosto 2026: falle nella governance, bug di protocollo e una superficie di attacco in espansione.
Agosto 2026 ha continuato il modello che ha defiLa sicurezza delle criptovalute è stata messa a dura prova durante tutto l'anno: elevata frequenza di incidenti, diversi vettori di attacco e perdite che, pur significative per singolo evento, riflettono un mese frammentato piuttosto che catastrofico. Secondo TRM Labs, solo nella prima metà del 2026 sono stati rubati circa 972 milioni di dollari in 207 incidenti, un periodo che ha stabilito un record assoluto per la frequenza degli attacchi, nonostante le perdite complessive siano diminuite rispetto al picco del 2025.
Le vulnerabilità degli smart contract sono rimaste il vettore di attacco più comune, mentre le compromissioni delle chiavi private e le violazioni delle infrastrutture hanno rappresentato molte delle perdite individuali più ingenti. Gli incidenti documentati ad agosto riguardano almeno otto protocolli e fornitori di infrastrutture, con perdite confermate per evento che vanno da 1.7 milioni a 8.5 milioni di dollari. Nel complesso, questi incidenti mettono in luce tre modalità di fallimento persistenti: meccanismi di governance e autorizzazione sfruttati, bug a cascata a livello di protocollo che minacciano l'integrità della blockchain e debolezze degli smart contract e delle infrastrutture, con conseguenze che si estendono ben oltre i bilanci.
Quando le regole diventano il vettore: exploit di governance e autorizzazione
L'incidente di agosto con le maggiori conseguenze finanziarie – la perdita di 8.5 milioni di dollari per Term Finance – non è stato causato da un bug in uno smart contract, bensì da un problema strutturale nella progettazione della governance. Un hacker ha acquisito a basso costo una posizione di maggioranza in un token di governance scarsamente diffuso e ha approvato delle proposte che gli conferivano il controllo sui vault strategici del protocollo, sottraendo circa 2,843 ETH (per un valore di 6.87 milioni di dollari all'epoca) e 1.68 milioni di USDC, ovvero circa il 68% dei 12.45 milioni di dollari detenuti nei Meta Vault di Term e quasi la totalità dei suoi depositi in Ethereum.
PeckShield e CertiK hanno confermato in modo indipendente la stima della perdita. Yearn Finance, la cui infrastruttura V3 era utilizzata dai vault, ha chiarito che l'attacco ha sfruttato un wrapper di governance personalizzato e non ha interessato le configurazioni standard dei vault di Yearn. Term Labs ha reagito chiudendo definitivamente tutti i Meta Vault, revocando i ruoli di governance della DAO, preservando i prelievi e coordinandosi con team di sicurezza esterni per il recupero degli asset. La gravità è aggravata dal contesto istituzionale: Term si era impegnata a garantire la trasparenza della governance e la convalida da parte di terzi per gli aggiornamenti critici in seguito a un errore dell'oracolo dell'aprile 2025 che ha innescato liquidazioni involontarie per circa 918 ETH.
L'attacco da 3 milioni di dollari a BounceBit ha seguito un percorso simile ma meccanicamente distinto. Una falla di autorizzazione nello stack blockchain di Evmos, su cui BounceBit aveva costruito il suo Layer 1, ha permesso a chi richiamava uno smart contract di designare un account diverso come fonte della transazione senza alcuna verifica crittografica. L'attaccante ha trasferito circa 286.5 milioni di token BB attraverso nove wallet in due giorni, senza compromettere una singola chiave privata o dispositivo wallet. Dato che Evmos è stato dismesso a maggio, BounceBit ha optato per il ritiro definitivo della blockchain anziché per la riparazione, annunciando che avrebbe riemesso BB come token BEP-20 su BNB Chain utilizzando uno snapshot pre-attacco e si sarebbe coordinata con gli exchange per ripristinare i saldi dei clienti interessati.
Entrambi i casi sottolineano un cambiamento ben documentato nel settore: quasi il 44% delle perdite del primo semestre 2026 è derivato da incidenti che sfruttano falle di sicurezza operative e infrastrutturali piuttosto che bug nei contratti intelligenti, e la compromissione dei wallet si è affermata come il vettore di attacco più costoso, con gli aggressori che prendono di mira la gestione delle chiavi e la governance multisig. Gli exploit di governance di agosto si inseriscono perfettamente in questa traiettoria.
Guasti a cascata: bug a livello di protocollo e crisi di integrità della catena
Diversi incidenti avvenuti ad agosto si sono aggravati, andando oltre le semplici perdite finanziarie e minacciando l'integrità dello stato blockchain confermato: una conseguenza più grave che mette a rischio l'annullamento delle transazioni già concluse ed erode la fiducia fondamentale nella rete.
MAYAChain, un DEX cross-chain costruito a partire dal codice open-source di THORChain, ha interrotto la sua rete il 19 agosto dopo che una transazione di 23 messaggi ha sfruttato sei bug software concatenati che interessavano i conti di trading, la gestione delle transazioni in uscita e i calcoli del pool di liquidità. L'attaccante ha infine prelevato 48.87 milioni di token CACAO dal vault Asgard del protocollo. Le perdite dirette ammontano a circa 1.7 milioni di dollari in Bitcoin e altri asset; l'erosione totale del valore del pool, aggravata dal calo dell'88.7% di CACAO durante l'incidente, ha raggiunto una cifra stimata di 10.9 milioni di dollari. Il team ha contattato l'attaccante tramite un messaggio Bitcoin OP_RETURN, ha avviato un processo di bug bounty e si è impegnato a contribuire personalmente al recupero.
Harmony ha annunciato un rollback all'11 agosto dopo che token ONE non autorizzati erano stati coniati e distribuiti agli exchange: un'operazione di bonifica che avrebbe comportato l'annullamento di oltre 109,000 transazioni regolari e 315 transazioni di staking. Il ripristino selettivo è stato ritenuto tecnicamente rischioso data l'interdipendenza di saldi, nonce e stati dei contratti nell'arco temporale interessato. Ravencoin ha affrontato una crisi analoga quando una vulnerabilità del consenso ha causato l'accettazione di blocchi non validi a partire dall'altezza 4,487,776, spingendo i pool di mining che controllavano la maggioranza dell'hash rate della rete a costruire una blockchain concorrente. Una riorganizzazione efficace avrebbe potuto annullare circa tre giorni di transazioni confermate; Upbit e Bitget hanno sospeso i trasferimenti di RVN in risposta. MANTRA, una blockchain che punta a tokenizzare asset reali, ha interrotto la produzione di blocchi il 21 agosto dopo che un hacker ha sfruttato una vulnerabilità in una dipendenza esterna a monte, ovvero un software sviluppato al di fuori del protocollo stesso. Il suo token è crollato del 18.5% raggiungendo il minimo storico prima dell'interruzione, con i validatori che sono rimasti offline in attesa di un rilascio coordinato della patch e una valutazione completa delle perdite ancora in corso.
Contratti intelligenti, infrastrutture e superficie di attacco estesa
Agosto ha inoltre prodotto incidenti significativi a livello di smart contract e supply chain, a conferma del fatto che il rischio per la sicurezza delle criptovalute ora si estende all'intera infrastruttura operativa. La Sandbox ha disabilitato il bridging tra Base e BNB Smart Chain dopo che un utente malintenzionato ha dirottato le autorizzazioni del delegato di LayerZero tramite una funzione approveAndCall per coniare token SAND non garantiti.
Nonostante un valore nominale di circa 49 miliardi di dollari, calcolato applicando il prezzo di mercato a token di gran lunga superiori alla liquidità disponibile, l'offerta effettiva interessata è risultata inferiore allo 0.01% dei 3 miliardi di token totali di SAND; SAND su Ethereum e Polygon non ha subito conseguenze. BTCPay Server ha rivelato una vulnerabilità critica, attivamente sfruttata, che interessa la sua infrastruttura di pagamento Bitcoin self-hosted e ha esortato gli utenti ad aggiornare alla versione 2.4.2 o a disattivare immediatamente i server, sebbene le perdite confermate non siano state quantificate. Separatamente, Trezor ha rivelato che il suo partner logistico ShipMonk ha subito un accesso non autorizzato, esponendo i nomi, gli indirizzi email, i numeri di telefono e gli indirizzi di spedizione di circa 14,000 clienti in sette paesi. Nessun firmware dei dispositivi o fondo on-chain è stato compromesso, ma l'incidente evidenzia la dimensione del rischio fisico: gli attacchi di coercizione di persona hanno causato perdite stimate in 30 milioni di dollari nella prima metà del 2026, con le intrusioni domestiche che ora rappresentano il 37% degli incidenti.
Nel loro insieme, gli incidenti di agosto confermano che il panorama delle vulnerabilità del settore si sta ampliando e diversificando. Gli aggressori non si limitano più a sfruttare la logica degli smart contract; operano su meccanismi di governance, dipendenze di protocollo, livelli di consenso e fornitori di servizi logistici di terze parti. Una mitigazione efficace del rischio richiede sempre più framework di sicurezza che tengano conto simultaneamente di tutte queste superfici.
Negazione di responsabilità
In linea con la Linee guida del progetto Trust, si prega di notare che le informazioni fornite in questa pagina non intendono essere e non devono essere interpretate come consulenza legale, fiscale, di investimento, finanziaria o di qualsiasi altra forma. È importante investire solo ciò che puoi permetterti di perdere e chiedere una consulenza finanziaria indipendente in caso di dubbi. Per ulteriori informazioni, suggeriamo di fare riferimento ai termini e alle condizioni nonché alle pagine di aiuto e supporto fornite dall'emittente o dall'inserzionista. MetaversePost si impegna a fornire report accurati e imparziali, ma le condizioni di mercato sono soggette a modifiche senza preavviso.
Circa l'autore
Alisa, una giornalista dedicata al MPost, è specializzato in criptovalute, IA, investimenti e nell'ampio regno di Web3. Con un occhio attento alle tendenze e alle tecnologie emergenti, offre una copertura completa per informare e coinvolgere i lettori nel panorama in continua evoluzione della finanza digitale.
Altri articoli
Alisa, una giornalista dedicata al MPost, è specializzato in criptovalute, IA, investimenti e nell'ampio regno di Web3. Con un occhio attento alle tendenze e alle tecnologie emergenti, offre una copertura completa per informare e coinvolgere i lettori nel panorama in continua evoluzione della finanza digitale.
