Gli attacchi hacker alle criptovalute nel 2026 hanno raggiunto blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il record di 9,2 miliardi di dollari, secondo CertiK, come riferisce un articolo di The Defiant dopo il furto del 29 ottobre a Binance. Quella cifra non compare nel cruscotto di CertiK consultato domenica 1° novembre, che non riporta alcun totale annuale né da inizio anno. Il cruscotto mostra invece il solo mese di ottobre: 6,50 miliardi di dollari di perdite lorde e 3,47 miliardi di perdite rettificate («adjusted»). Sommando le perdite rettificate mensili da gennaio a ottobre si arriva a circa 5,7 miliardi di dollari. Il database degli hack di DefiLlama indica per il 2026 un totale di 8,74 miliardi di dollari, di cui 6,36 miliardi attribuiti a Binance.
Tre risposte alla stessa domanda, dunque, e un solo episodio sotto tutte e tre. Se dall’elenco di DefiLlama si toglie Binance, il 2026 si ferma a circa 2,38 miliardi di dollari, meno dei 2,72 miliardi registrati per l’intero 2025. A parità di periodo il divario si riduce, ma l’ordine non cambia: a fine ottobre il 2025 era a 2,51 miliardi.
Nel testo di The Defiant, per quanto leggibile, non è indicato se i 9,2 miliardi di dollari siano al lordo o al netto dei fondi congelati, né a quale data si riferiscano. L’articolo parla di record senza citare un anno precedente. Non risulta alcun documento di CertiK che chiarisca l’uno o l’altro punto.
Hack crypto nel 2026: cosa mostra ciascun tracker
I tracker qui sotto sono stati consultati il 1° novembre 2026, per DefiLlama intorno alle 05:50 UTC. Le somme dei mesi di CertiK e degli anni di DefiLlama sono calcoli di Coindaro, perché nessuna delle due pagine le pubblica.
| Fonte | Periodo | Totale | Come conta | Binance |
|---|---|---|---|---|
| CertiK, secondo The Defiant | 2026, data finale non indicata | 9,2 mld $ | Non precisato; sembra un dato lordo (inferenza di Coindaro) | Non scorporato |
| Cruscotto CertiK, perdite totali | Ottobre 2026 | 6,50 mld $ | Lordo, 92 incidenti | 6,29 mld $ |
| Cruscotto CertiK, perdite rettificate | Ottobre 2026 | 3,47 mld $ | Dopo 3,03 mld $ congelati e restituiti | Non scorporato |
| Cruscotto CertiK, perdite rettificate (somma di Coindaro dei mesi) | Da gennaio a ottobre 2026 | Circa 5,69 mld $ | 751 incidenti | Non scorporato |
| DefiLlama (somma di Coindaro delle voci) | 2026 fino al 31 ottobre | 8,74 mld $ | 325 voci per data; gli importi vuoti valgono zero | 6,36 mld $ |
| DefiLlama senza Binance (somma di Coindaro) | 2026 fino al 31 ottobre | Circa 2,38 mld $ | 324 voci | Escluso |
Le due cifre su Binance differiscono di 70 milioni di dollari: poco per un evento di queste dimensioni, e in linea con quanto riferito da altri. Binance stessa ha stimato l’impatto in circa 6,3 miliardi di dollari, TRM Labs ha contato 6,36 miliardi, come abbiamo raccontato nel resoconto del furto. Elliptic è più alta, con 6,43 miliardi su 11 blockchain.
Perdite lorde e nette: come 9,2 miliardi di dollari diventano 5,7
I dati di ottobre di CertiK tornano al centesimo: 6,50 miliardi meno 3,03 miliardi congelati e restituiti lasciano 3,47 miliardi. Il cruscotto non definisce le perdite «adjusted» e mostra le cifre lorde e quelle congelate solo per ottobre. Per gli altri mesi del 2026 compare unicamente la riga delle perdite rettificate; per i trimestri ci sono entrambe.
Si può comunque verificare a cosa corrisponda con ogni probabilità il totale di 9,2 miliardi. Il rapporto del primo semestre, uscito il 6 luglio, collocava le perdite sopra 1,31 miliardi di dollari in 344 incidenti. Il cruscotto riporta oggi 1,28 miliardi per il terzo trimestre. Aggiungendo i 6,50 miliardi di ottobre si arriva a circa 9,1 miliardi, vicinissimo alla cifra riferita. Per questo i 9,2 miliardi si leggono come un totale lordo da gennaio a ottobre. È un’inferenza di Coindaro sui numeri dello stesso CertiK, non un’affermazione che CertiK faccia in una delle pagine consultate, e il piccolo scarto può dipendere da revisioni successive: il totale del terzo trimestre era di 1,26 miliardi quando Cointelegraph riportò i dati di CertiK il 1° ottobre.
Se la lettura è giusta, la distanza tra 9,2 e 5,7 miliardi di dollari è di circa 3,5 miliardi, e la parte maggiore la fanno i congelamenti di ottobre. Qualcosa viene anche dai mesi precedenti: secondo lo stesso articolo di Cointelegraph, settembre era a circa 769 milioni di dollari prima di circa 273 milioni congelati o restituiti, cioè 495,3 milioni rettificati (il cruscotto oggi indica 488,2 milioni). CertiK non attribuisce i 3,03 miliardi ai singoli incidenti. Le perdite di ottobre diverse da Binance, per differenza, sono appena 0,21 miliardi, quindi la gran parte dei congelamenti deve riguardare Binance. Anche questo passaggio è un calcolo di Coindaro.
Nessuno dei due numeri descrive ciò che hanno perso le vittime. Le perdite rettificate considerano i token congelati come sottratti all’aggressore, ma congelato non vuol dire restituito, e Binance non ha detto che cosa accadrà ai token congelati se torneranno indietro. Binance ha indicato circa 3 miliardi di dollari congelati, mentre Elliptic ne aveva verificati 2,85 miliardi sulla sua pagina aggiornata alle 23:55 UTC del 31 ottobre. Elliptic stima inoltre che l’aggressore detenga circa 3,21 miliardi non congelabili, tra cui 18.270 BTC.
Un’altra questione è quella dei clienti. Binance dichiara che si farà carico della perdita. Sabato sera ha detto di aver coperto il 95% dei 6,3 miliardi sottratti, contro circa il 90% di inizio giornata, come ha riferito Reuters, senza che la dichiarazione sia stata verificata in modo indipendente. Il restante 5% è composto da token meno liquidi, che possono richiedere più tempo per essere reperiti. I prelievi dovevano riprendere a fasi, con la prima apertura tra le 06:00 e le 09:00 UTC di domenica 1° novembre e nessuna data per le fasi successive. Non risulta confermata la riapertura di alcuna rete: l’ultima verifica reperibile, di Cryptoticker alle 04:45 UTC, mostrava ancora disattivati i prelievi di Bitcoin ed Ethereum. Un tracker che conta il furto a valore pieno e un exchange che rimborsa i clienti possono avere ragione entrambi: uno misura ciò che è uscito dai portafogli, l’altro chi alla fine paga.
Senza Binance, il 2026 non è un record su DefiLlama
DefiLlama permette di confrontare gli anni con un unico metodo e non sottrae nulla dagli importi di partenza. La voce su Bybit del febbraio 2025 mantiene per intero 1,4 miliardi di dollari nel campo dell’importo e registra la stessa somma a parte tra i fondi restituiti. La voce su Binance non mostra alcun fondo restituito, quindi gli 8,74 miliardi di DefiLlama sono un dato lordo, senza detrazioni per i congelamenti.
| Misura | 2025 | 2026 | Fonte |
|---|---|---|---|
| DefiLlama, da gennaio a settembre | 2,48 mld $ | 2,24 mld $ | Somma di Coindaro |
| DefiLlama, da gennaio a ottobre | 2,51 mld $ | 8,74 mld $ | Somma di Coindaro |
| DefiLlama, da gennaio a ottobre, senza Binance | 2,51 mld $ | 2,38 mld $ | Somma di Coindaro |
| DefiLlama, anno intero | 2,72 mld $ | Anno non concluso | Somma di Coindaro |
| CertiK rettificato, da gennaio a settembre | 3,31 mld $ | 2,22 mld $ | Somma di Coindaro dei mesi del cruscotto |
| CertiK rettificato, da gennaio a ottobre | 3,37 mld $ | 5,69 mld $ | Somma di Coindaro dei mesi del cruscotto |
La prima e la quinta riga vanno lette insieme. A fine settembre entrambi i tracker avevano il 2026 dietro il 2025: su DefiLlama di circa il 10%, sulle perdite rettificate di CertiK di circa un terzo. Su queste due serie l’anno si è ribaltato in un solo mese. Va detto che anche il 2025 contiene un gigante, Bybit, quindi il confronto è tra due anni con un caso fuori scala. Togliendo anche Bybit, il totale 2025 su DefiLlama scende a circa 1,3 miliardi di dollari per l’anno intero, ben al di sotto del 2026 senza Binance.
La conclusione corretta è quindi più stretta dei due titoli. Sulle somme per anno solare delle voci di DefiLlama calcolate da Coindaro, il 2026 è l’anno più grande con ampio margine. Seguono il 2020 con 3,98 miliardi di dollari, totale che include la voce LuBian da 3,5 miliardi, e il 2022 con 3,63 miliardi. Binance da sola vale il 72,8% del 2026. Senza di essa, i primi dieci mesi del 2026 resterebbero sotto gli anni interi 2020, 2021, 2022 e 2025. Per CertiK non risulta un record precedente: né il testo di The Defiant né le pagine CertiK consultate indicano un anno o una cifra di confronto, quindi il «record» poggia sulla formulazione di The Defiant.
Perché due tracker di hack raramente concordano
In parte lo spiega il perimetro. CertiK ha registrato 751 incidenti da gennaio a ottobre sul cruscotto ed esclude il phishing dalla classifica dei maggiori incidenti. DefiLlama ha 325 voci per il 2026, meno della metà. Contano poi i tempi: i cruscotti vengono rivisti a posteriori, e il secondo trimestre di CertiK è oggi a 822,3 milioni di dollari, mentre a inizio ottobre era a 819,4 milioni.
Curiosamente, prima di ottobre le due serie quasi coincidono: 2,22 miliardi di dollari rettificati per CertiK e 2,24 miliardi per DefiLlama nei primi nove mesi. Non vale la pena leggerci troppo, perché contano cose diverse.
Anche la serie di CertiK richiede cautela. Le sue perdite rettificate mensili del 2025 sommano a circa 3,86 miliardi di dollari, mentre KuCoin News ha riassunto il rapporto annuale 2025 in 3,35 miliardi su 630 incidenti. Il cruscotto non spiega la differenza di 500 milioni. Settembre mostra quanto possa pesare il solo metodo: PeckShield ha contato circa 766,5 milioni di dollari in 55 incidenti maggiori, quasi come i 768,4 milioni di CertiK in 97, eppure la riga rettificata del cruscotto per quel mese è di 488,2 milioni. Hacken ha collocato il terzo trimestre a circa 1,18 miliardi, come abbiamo messo a confronto nell’analisi dei conti del terzo trimestre.
Quanto pesano gli attacchi piccoli: il caso di ottobre
La ripartizione di ottobre sul cruscotto è sbilanciata. La compromissione dei portafogli vale 6,44 miliardi di dollari, il 99% delle perdite del mese, in 20 incidenti. Gli exploit sono il tipo più frequente, con 45 incidenti pari al 48,9% del totale, e sono costati 25,1 milioni. Dietro Binance vengono gli utenti Ledger con 99,0 milioni e CoinDCX con 16,0 milioni.
Le due voci più grandi dell’anno su DefiLlama sono guasti di chiavi, non bug di smart contract: «Key Leaked via Infrastructure» per Binance e una chiave di hot wallet compromessa per Bitget, 387 milioni di dollari. L’elenco sotto è più vario, con il mint cross-chain senza copertura di Liquid Network da 320 milioni al terzo posto. Come siano stati indotti a firmare i portafogli di Binance non si sa ancora. La nostra guida su dove avvengono davvero gli hack crypto spiega perché il punto debole sia così spesso fuori dalla blockchain.
CertiK segue anche gli attacchi fisici «a chiave inglese» contro chi detiene cripto, passati dai 39 incidenti e 10,5 milioni di dollari di esposizione del primo semestre 2025 ai 52 incidenti e 124,2 milioni del primo semestre 2026. Somme minuscole accanto a Binance, che spariscono in qualunque totale annuale.
Cosa controllare quando si cita un totale degli hack
Tre domande bastano a sciogliere la maggior parte di queste cifre. Il numero è al lordo o al netto dei fondi congelati? Arriva fino a una data dichiarata? Comprende l’incidente singolo più grande? Un totale che non risponde a nessuna delle tre non è confrontabile con niente, e per i 9,2 miliardi di dollari si può rispondere soltanto alla terza, per giunta per inferenza.
Per chi usa un exchange, il totale annuale conta meno di come una piattaforma paga quando viene colpita. La nostra guida su come scegliere un exchange di criptovalute spiega a cosa guardare in fatto di riserve e custodia.
Cosa resta ancora da chiarire
Nelle pagine consultate CertiK non ha pubblicato un totale lordo da inizio anno, una definizione di perdite rettificate né uno scorporo dei 3,03 miliardi di dollari per incidente. Non risultano cifre di ottobre o da inizio anno di PeckShield, Immunefi, TRM Labs o Chainalysis. Una qualunque di queste metterebbe alla prova la lettura qui sopra, e una dichiarazione di CertiK secondo cui i 9,2 miliardi sono al netto dei congelamenti la ribalterebbe.
Due elementi possono ancora muovere i numeri. I dati di novembre non sono ancora partiti sul cruscotto. La prova di riserve completa di Binance, annunciata prima per lunedì 2 novembre, è ora attesa per martedì 3 novembre secondo Cryptoticker e Bitcoin.com News, ma il post originale di Binance non è risultato consultabile. E se i token congelati verranno restituiti, i totali rettificati potrebbero cambiare ancora, mentre la voce di DefiLlama su Bybit suggerisce che il suo importo principale resterebbe a 6,36 miliardi di dollari.