blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">Il 21 febbraio 2025 i firmatari dell’exchange Bybit hanno approvato quella che, secondo il resoconto della società, sembrava una normale transazione tra portafogli, e oltre 400.000 ETH e stETH sono usciti. L’FBI ha stimato il furto in circa 1,5 miliardi di dollari e lo ha attribuito alla Corea del Nord. Le verifiche forensi non hanno trovato alcun difetto negli smart contract di Safe. A mentire era lo schermo.
Nove anni prima, il 17 giugno 2016, era successo l’opposto: un contratto chiamato The DAO aveva obbedito alla lettera al proprio codice, e quel codice pagava lo stesso prelievo ancora e ancora. La maggior parte degli hack DeFi da allora rientra in una di queste due storie. O il codice ha fatto ciò per cui era stato scritto, in un ordine che nessuno aveva previsto, oppure il codice era a posto e a cedere sono state le persone, le chiavi o i server intorno.
La lezione prende le tre famiglie tecniche classiche (reentrancy, flash loan, oracoli manipolati), ricostruisce come si è svolto ciascun attacco e poi passa a ponti, firmatari e ai grandi incidenti del 2025 e del 2026. Segue la nostra lezione su come leggere un report di audit e va oltre la visione generale di una blockchain può essere hackerata: qui la catena continua a funzionare e a rompersi è l’applicazione che ci gira sopra. Per capire dove si collocano questi incidenti tra gli altri pericoli, c’è la nostra mappa dei rischi DeFi.
Come leggere qualsiasi exploit DeFi con due domande
Un exploit sfrutta un difetto di un protocollo per prendere denaro che le regole non avrebbero mai dovuto rilasciare. Un rug pull è diverso: è il team stesso a sparire con i fondi. L’hack di un exchange è un’altra cosa ancora, perché la vittima è un’azienda che custodisce le monete dei clienti, anche se Bybit rientra in questa lezione perché il suo punto debole era un flusso di firma usato in tutta la DeFi.
I post-mortem sono lunghi e i primi resoconti spesso sbagliano. Due domande ne ordinano quasi tutti. Quale ipotesi è saltata? E chi aveva il potere di muovere il denaro? Un prezzo dato per equo, un saldo dato per aggiornato, una firma data per controllata, uno schermo dato per onesto: ogni caso qui sotto è una di queste cose. La risposta alla seconda domanda dice se la correzione va cercata nel codice o nell’organizzazione.
Attacco di reentrancy: il contratto viene richiamato prima di aver finito
Quando uno smart contract invia ether, passa il controllo al destinatario. Se il destinatario è a sua volta un contratto, può eseguire codice in quel momento, compresa una chiamata di ritorno verso chi ha inviato. La documentazione di Solidity la tratta come una trappola permanente (in inglese): qualsiasi chiamata esterna apre quella porta, e il trasferimento di ether ne è solo un caso.
Ecco la forma del bug, in un esempio semplificato scritto per questa lezione:
function withdraw() external {
uint256 amount = balances[msg.sender];
(bool ok, ) = msg.sender.call{value: amount}(""); // il denaro esce per primo
require(ok);
balances[msg.sender] = 0; // saldo azzerato troppo tardi
}L’attacco si svolge in quattro passaggi.
- L’attaccante deposita una piccola somma da un contratto e chiama withdraw.
- La vittima invia l’ether, e questo attiva il contratto dell’attaccante.
- Quel contratto chiama di nuovo withdraw. Il saldo non è stato azzerato, quindi il controllo passa ancora e il pagamento si ripete.
- Il ciclo si ferma quando la vittima resta a secco o la transazione finisce il gas. Solo allora il saldo arriva a zero.
La difesa standard si chiama checks-effects-interactions: si verifica, si aggiorna il proprio stato e solo dopo si chiama il mondo esterno. Se si scambiano le ultime righe dell’esempio, la seconda chiamata trova un saldo pari a zero. Molti team aggiungono anche un reentrancy lock, un flag che rifiuta qualsiasi chiamata in arrivo mentre la funzione è ancora in esecuzione.
Da The DAO a GMX V1: lo stesso bug a nove anni di distanza
The DAO aveva circa 11,5 milioni di ETH impegnati quando un attaccante ha chiamato in modo ricorsivo la sua funzione splitDAO prima che i saldi venissero aggiornati, come la descrive il database degli hack di DefiLlama. Sono usciti circa 3,6 milioni di ETH, per un valore di circa 50-60 milioni di dollari all’epoca a seconda della fonte, verso un conto soggetto a un periodo di blocco di 28 giorni. Quel ritardo ha dato alla comunità il tempo di discutere. Il 20 luglio 2016 Ethereum è stata sottoposta a hard fork per spostare i fondi su un indirizzo di recupero, e la catena non biforcata esiste ancora come Ethereum Classic.
La reentrancy moderna è più sottile. Il 9 luglio 2025 GMX V1 ha perso circa 42 milioni di dollari su Arbitrum. L’analisi di Sherlock la riconduce al pagamento in ETH del profitto su un piccolo trade: il destinatario è rientrato nel sistema e ha aperto uno short BTC di grandi dimensioni direttamente tramite il vault, aumentando la dimensione totale degli short senza aggiornare il prezzo medio che un tracker separato conservava. GLP, il token di quota del pool, è valutato proprio da quelle cifre. L’attaccante ha comprato GLP, ha ripetuto la mossa in dimensioni maggiori perché il pool sembrasse molto più ricco di quanto fosse e ha rivenduto il GLP al prezzo gonfiato. Il problema non era il saldo: un secondo dato di stato è andato fuori sincrono con il primo. DefiLlama registra 40 milioni di dollari restituiti, con l’attaccante che ha tenuto una taglia di circa 5 milioni.
Curve ha mostrato che anche una protezione corretta può sparire. Il 30 luglio 2023 diversi pool di Curve hanno perso circa 61,7 milioni di dollari secondo il conteggio di DefiLlama. Il post-mortem di LlamaRisk spiega perché: le versioni 0.2.15, 0.2.16 e 0.3.0 di Vyper producevano un reentrancy lock difettoso, per cui il codice sorgente conteneva la protezione e il bytecode distribuito no. L’attaccante è rientrato tra la rimozione e l’aggiunta di liquidità, e i nuovi token LP sono stati valutati sui saldi precedenti alla distruzione. Una revisione del solo sorgente Vyper non l’avrebbe individuato, ed è per questo che il perimetro di un audit conta.
Attacchi con flash loan: dimensioni prese in prestito per una transazione
Un flash loan presta qualsiasi importo senza garanzie, a patto che torni indietro nella stessa transazione. La nostra guida ai flash loan ne spiega il meccanismo. Il punto, qui, è un altro: un flash loan non è un bug. Toglie una barriera, il capitale necessario per spingere un mercato sottile o gonfiare una posizione, così un difetto che una volta richiedeva una fortuna oggi richiede solo gas e una commissione. Nel caso bZx, Quantstamp ha osservato che i flash loan non erano mai stati la vulnerabilità.
bZx e Cream: il prestito che ha spostato un prezzo
bZx ha subito i due attacchi che hanno reso famosi i flash loan, il 15 e il 18 febbraio 2020. Quantstamp ha misurato le posizioni in perdita che hanno lasciato in circa 640.000 e 800.000 dollari. Entrambi si sono svolti in modo atomico dentro una sola transazione. Nel primo, l’ETH preso in prestito ha prodotto un forte slippage in un mercato sottile, e Quantstamp sostiene che non fosse un attacco all’oracolo. Il secondo lo era: l’attaccante ha spinto in alto sUSD sugli exchange decentralizzati, bZx ha letto quei prezzi come valore della garanzia e il prestito era in perdita dal momento stesso in cui è stato erogato.
Cream Finance, il 27 ottobre 2021, mostra la scala due anni dopo. Secondo la ricostruzione di Immunefi, l’attaccante ha coniato con un flash mint circa 500 milioni di dollari di DAI da MakerDAO e ha preso in prestito con flash loan circa 524.000 ETH da Aave. Il ciclo si svolgeva così: comprare yUSD, un token vault di Yearn, e depositarlo su Cream; usare un secondo conto per prendere in prestito altro yUSD e ridepositarlo, contando più volte lo stesso asset; infine inviare circa 10 milioni di dollari dei token sottostanti del vault direttamente nel vault. Quel trasferimento ha aumentato gli asset per quota senza coniare nulla, e ha portato il prezzo di yUSD su Cream da circa 1 dollaro verso 2. La garanzia gonfiata ha poi preso in prestito tutta la liquidità disponibile, circa 130 milioni di dollari. Due difetti combinati: un prezzo che poteva essere spostato e nessun tetto alla fornitura dello stesso asset.
Euler 2023: un controllo mancante e un’autoliquidazione
Euler ha perso circa 197 milioni di dollari il 13 marzo 2023, e il flash loan ha fornito soltanto la dimensione. L’analisi di BlockSec sulla transazione in DAI mostra il vero difetto: donateToReserves permetteva a un utente di regalare token di garanzia senza alcun controllo dello stato di salute della posizione.
- Prendere in prestito 30 milioni di DAI con un flash loan, depositarne 20 milioni e usare il meccanismo di coniazione di Euler per costruire una posizione di 410 milioni di eDAI a fronte di 390 milioni di dDAI di debito.
- Donare 100 milioni di eDAI alle riserve, lasciando 310 milioni di eDAI di garanzia contro 390 milioni di dDAI di debito. Il conto è insolvente e nulla lo impedisce.
- Da un secondo indirizzo, liquidare il primo con un forte sconto, incassando 310 milioni di eDAI e accollandosi soltanto 259 milioni di dDAI.
- Prelevare circa 38,9 milioni di DAI, rimborsare il flash loan e tenere il resto.
Un attaccante che liquida il proprio conto con uno sconto trasforma l’insolvenza in profitto, ed è per questo che il disegno della liquidazione pesa quanto il controllo mancante. Il finale è stato insolito. Euler ha offerto una taglia del 10% e il 3 aprile 2023 l’attaccante ha restituito gli ultimi 31 milioni di dollari, portando il totale restituito a oltre 177 milioni di dollari, secondo The Block.
Oracoli manipolati: un prezzo che qualcuno può spostare
Un oracolo dice a un protocollo quanto vale un asset, e un mercato di prestiti si fida di quel numero per tutto ciò che custodisce. La nostra lezione sul disegno degli oracoli confronta prezzi spot, medie ponderate nel tempo e feed aggregati. In breve: un prezzo spot letto da un solo pool si sposta con un solo scambio, una media richiede più tempo e costa di più per essere spinta, e un feed aggregato attinge a più sedi. Nessuno dei tre serve se il mercato dietro il token è troppo sottile.
Mango Markets 2022: condanne annullate e un appello
L’11 ottobre 2022 il prezzo di MNGO, il token di Mango Markets stesso, è stato spinto verso l’alto sui tre exchange che alimentavano la valutazione dei contratti perpetui della piattaforma. DefiLlama descrive circa 5 milioni di dollari di capitale iniziale trasformati in circa 423 milioni di dollari di garanzia sulla carta, che hanno poi preso in prestito circa 110-116 milioni di dollari di asset reali. Gli atti del tribunale collocano i prelievi entro circa trenta minuti. Nel codice nulla ha funzionato male: il feed dei prezzi riportava un mercato reale e sottile.
Avraham Eisenberg è stato incriminato il 9 gennaio 2023. La CFTC e la SEC hanno depositato quel mese denunce civili in cui sostenevano l’esistenza di uno schema manipolativo. Il 18 aprile 2024 una giuria lo ha condannato per frode sulle materie prime, manipolazione delle materie prime e frode telematica, in quello che il Dipartimento di Giustizia ha definito il suo primo caso di manipolazione di mercato aperto sulle crypto.
Le condanne non hanno retto in primo grado. In un’ordinanza del 23 maggio 2025, il giudice Arun Subramanian del Distretto Sud di New York ha accolto la mozione di Eisenberg ai sensi della Rule 29 e ha trattato i capi in modo diverso. Ha annullato (vacated) i due capi sulle materie prime per questioni di competenza territoriale: Eisenberg si trovava a Porto Rico e le prove non collocavano in quel distretto la condotta essenziale. Sulla frode telematica ha pronunciato un’assoluzione, ritenendo che mancasse la competenza territoriale anche lì e che non ci fossero prove sufficienti della falsità, perché la piattaforma non aveva condizioni d’uso né un obbligo dichiarato di rimborso. «C’era soltanto la parola borrow», ha scritto (traduzione dall’inglese).
Una decisione sulla competenza territoriale non è un accertamento di innocenza. L’ordinanza cita la Corte Suprema su questo punto: un annullamento di quel tipo «non risolve la questione di fondo della responsabilità penale» (traduzione dall’inglese). Il giudice ha anche ritenuto le prove sufficienti a ritenere che Eisenberg avesse l’intenzione di manipolare, e ha rilevato che egli aveva rinunciato a contestare l’accertamento della giuria su un dispositivo manipolativo.
Il caso non è chiuso. DL News ha riferito il 7 gennaio 2026 che la pubblica accusa aveva presentato appello con una memoria datata 22 dicembre 2025, sostenendo che «borrow» implica l’intenzione di restituire e che la decisione «metterebbe in discussione le concezioni tradizionali di frode» (traduzione dall’inglese). Eisenberg ha restituito 67 milioni di dollari al DAO di Mango in quello che TRM Labs definisce un accordo mediato dal DAO. La conclusione è circoscritta: una pronuncia su dove è stato avviato il procedimento e su che cosa sia stato dichiarato falsamente non è una licenza a manipolare i mercati DeFi.
Attacchi di donazione: il trucco di Cream è tornato nel 2026
Inviare token direttamente a un contratto, fuori dal normale percorso di deposito, aumenta gli asset senza aumentare le quote. È la mossa dietro yUSD di Cream, e DefiLlama la descrive di nuovo a Tectonic, un mercato di prestiti su Cronos, il 30 agosto 2026: 98 operazioni ricorsive hanno costruito una posizione TONIC a leva, due trasferimenti diretti nel contratto tTONIC ne hanno alzato il tasso di cambio e il feed di prezzo di TONIC non aveva alcuna smussatura né interruttore di emergenza. I tassi di cambio dei token di quota sono oracoli anche quando nessuno li chiama così.
Il seguito è la parte insolita. Il post-mortem di Cronos, riportato da The Block, dice che l’attaccante ha preso in prestito circa 120,4 milioni di dollari su nove mercati; DefiLlama indica 124,5 milioni. I validatori hanno fermato la catena e l’hanno riportata indietro di 10.961 blocchi, cioè 1 ora e 54 minuti, annullando circa 111,2 milioni di dollari. Circa 9,19 milioni erano già usciti. Anche ogni altra transazione in quella finestra è stata cancellata, e Cronos ha descritto la scelta come un bilanciamento tra «la finalità che gli utenti si aspettano da una catena e i fondi a rischio» (traduzione dall’inglese).
Ponti e chiavi: le perdite DeFi più grandi mai registrate
Le due voci più grandi che DefiLlama classifica come protocolli DeFi non sono affatto bug di prestito: Ronin con 624 milioni di dollari e Poly Network con 611 milioni, entrambi sistemi cross-chain. Un ponte tiene un pool di asset su una catena e paga sulla base di un messaggio proveniente da un’altra, per cui un messaggio falso svuota il pool. La nostra guida a ponti e intent ne spiega le architetture.
Poly Network, Wormhole, Nomad: tre modi diversi di falsificare un messaggio
Poly Network, 10 agosto 2021. L’analisi di CertiK attribuisce la colpa a diritti di accesso gestiti male tra due contratti: EthCrossChainManager governava EthCrossChainData, che conteneva il keeper, la chiave autorizzata ad approvare i prelievi. Un attaccante ha abusato di quel collegamento e ha sostituito la chiave del keeper con la propria. Circa 342 milioni di dollari sono tornati entro poche ore, il resto era in un conto che richiedeva le password di entrambe le parti, e Poly Network ha detto, circa 13 giorni dopo l’attacco, di aver recuperato il rimanente.
Wormhole, 2 febbraio 2022. Un attaccante ha coniato 120.000 wETH su Solana, per un valore di circa 320 milioni di dollari, senza che su Ethereum fosse bloccato nulla. La ricostruzione di BlockSec mostra perché: la verifica delle firme si appoggiava a load_instruction_at, una funzione non sicura che non controlla da quale account legge, così l’attaccante ha fornito un account falso al posto di quello reale di sistema e il controllo è passato. Jump Crypto, il cui gruppo aveva acquisito lo sviluppatore di Wormhole l’anno prima, ha sostituito i 120.000 ETH in modo che i detentori di wETH fossero risarciti per intero. Wormhole ha anche offerto all’attaccante 10 milioni di dollari per la restituzione dei fondi.
Nomad, 1 agosto 2022. Un aggiornamento precedente aveva preapprovato 0x00 come radice fidata, e 0x00 è anche ciò che il contratto restituisce per qualsiasi messaggio mai dimostrato (Immunefi ripercorre il codice). Così ogni messaggio risultava valido. Mandiant elenca 532 indirizzi che hanno preso almeno 1.000 dollari ciascuno, su un totale di oltre 190 milioni: chiunque poteva copiare una transazione funzionante, sostituire il destinatario e inviarla. Circa 36 milioni sono tornati dopo che una taglia ha permesso a chi aveva preso i fondi di tenerne il 10%.
Ronin: cinque chiavi su nove
Ronin richiedeva l’approvazione di cinque validatori su nove per un prelievo, e il 23 marzo 2022 un attaccante ne ha ottenuti cinque. Il post-mortem, riportato da Cointelegraph, parte da uno spear phishing contro un ex dipendente di Sky Mavis, che ha dato accesso a quattro validatori. Il quinto apparteneva all’Axie DAO, che nel novembre 2021 aveva inserito Sky Mavis in una lista di consentiti per firmare per suo conto, per aiutare a distribuire transazioni gratuite. L’accordo era terminato nel dicembre 2021, ma l’accesso non era mai stato revocato, e il resto lo ha fatto una backdoor attraverso un nodo RPC senza gas.
Sono usciti circa 173.600 ETH e 25,5 milioni di USDC. Per sei giorni nessuno se n’è accorto, finché il 29 marzo un utente non è riuscito a prelevare 5.000 ETH. Il Tesoro degli Stati Uniti ha attribuito il colpo al Lazarus Group della Corea del Nord, valutandolo quasi 620 milioni di dollari. Nessuna logica di contratto è venuta meno. Nove validatori sembravano indipendenti, ma la portata di una sola azienda arrivava a cinque di loro perché un vecchio permesso non era mai stato ripulito.
Bybit 2025: quando lo schermo mente ai firmatari
Un multisig serve a eliminare il singolo punto di rottura, e lo fa, finché ogni firmatario sa che cosa sta firmando. Il portafoglio di Bybit funzionava su Safe, e l’exchange non ha perso le proprie chiavi. Gli attaccanti hanno preso di mira lo strumento che ogni firmatario condivideva.
Safe ha dichiarato in un comunicato che l’attacco è partito da una macchina compromessa di uno sviluppatore di Safe{Wallet}. Elastic Security Labs data quella compromissione al 4 febbraio 2025 e la prima intrusione nell’ambiente AWS di Safe al giorno dopo, con token di sessione temporanei, con una probabile ingegneria sociale ma un’esca esatta sconosciuta. Sygnia ha trovato JavaScript malevolo nel bucket AWS S3 di Safe, modificato due giorni prima del furto e limitato al cold wallet di Bybit, così gli utenti comuni non vedevano nulla di strano. Circa due minuti dopo la transazione malevola, i file sono stati sostituiti con versioni pulite.
Sygnia non ha trovato prove di una compromissione dell’infrastruttura di Bybit e Safe dice che revisori esterni non hanno trovato difetti nei suoi contratti né nel codice sorgente del front end. L’amministratore delegato di Bybit, Ben Zhou, ha detto che tutti i firmatari vedevano un’interfaccia mascherata che mostrava l’indirizzo corretto e un URL di Safe. Ciò che arrivava al browser non era ciò che girava sulla catena.
Diversi firmatari usavano lo stesso sito e, secondo quel resoconto, vedevano tutti la stessa falsa immagine, così la soglia non aggiungeva una vera indipendenza all’ultimo passaggio. La lezione per chi gestisce un multisig è verificare il payload fuori da quell’unica interfaccia: confermare sul dispositivo hardware che cosa fa la transazione grezza, simularla altrove e confrontare gli hash tra i firmatari. Queste abitudini fanno parte della routine di sicurezza trattata più avanti in questo modulo.
Hack DeFi del 2025 e del 2026: aritmetica e punti singoli di rottura
Cetus, Balancer, Truebit: arrotondamenti e overflow
Cetus, l’exchange di Sui, ha perso circa 223 milioni di dollari il 22 maggio 2025. Cetus l’ha attribuito a un controllo di overflow in una libreria matematica open source, il cui metodo checked_shlw verificava un limite a 256 bit invece che a 192. L’attaccante ha usato un flash swap per spostare il prezzo, poi ha aggiunto una liquidità enorme in cambio di quasi nessun token e ha prelevato riserve reali. I validatori di Sui hanno fermato circa 162 milioni di dollari rifiutando le transazioni dell’attaccante, e un voto che il 29 maggio ha raggiunto circa il 90% di consensi ha approvato lo spostamento di quei fondi su un trust multisig gestito da Cetus, OtterSec e Sui Foundation. Circa 60 milioni erano già stati trasferiti su Ethereum tramite un ponte. La funzione che ha salvato il denaro mostra anche quanto potere ha un insieme di validatori su un singolo indirizzo.
Balancer V2 è stato colpito il 3 novembre 2025. Il passaggio di scalatura nei Composable Stable Pool arrotondava sempre per difetto, e OpenZeppelin spiega come ciò sia diventato letale: con batchSwap l’attaccante ha spinto i saldi dei pool a livelli molto bassi, dove un errore di arrotondamento è grande rispetto agli importi, poi ha eseguito cicli di scambi ripetuti che gonfiavano ogni volta il credito. I totali variano con il perimetro: Cointelegraph ha riportato circa 116 milioni di dollari, DefiLlama ne elenca 128 milioni e OpenZeppelin parla di oltre 120 milioni considerando i fork. Il post-mortem di Balancer, riportato da AMBCrypto il 18 novembre, indicava 121,1 milioni di dollari sottratti e 45,7 milioni recuperati o messi al sicuro: circa 19 milioni in osETH e 1,9 milioni in osGNO recuperati da StakeWise, circa 4,6 milioni da whitehat e circa 19,3 milioni messi al sicuro da pause di emergenza.
È la lezione sugli audit in un solo caso. Trail of Bits dice di aver segnalato nel 2021 un dubbio di arrotondamento nei Linear Pool come di gravità indeterminata, e che nella sua revisione del 2022 dei Composable Stable Pool la libreria Stable Math era fuori perimetro. Un report dall’aspetto pulito dice poco se la parte rotta stava fuori dal report.
Truebit è la versione piccola della stessa famiglia. L’8 gennaio 2026, secondo DefiLlama, un integer overflow nel vecchio codice di acquisto di token in Solidity 0.6.10 ha permesso a un attaccante di coniare TRU quasi gratis e di venderlo alla bonding curve per circa 26 milioni di dollari. Solidity annulla l’operazione in caso di overflow per impostazione predefinita dalla versione 0.8, quindi i contratti legacy che custodiscono ancora valore restano un bersaglio.
Drift e Kelp: controllo amministrativo e un ponte con un solo verificatore
Drift, la piattaforma di perpetui su Solana, ha perso circa 285-295 milioni di dollari il 1° aprile 2026, a seconda del conteggio, e il codice dei contratti ha retto. La cronologia di BlockSec mostra un multisig del Security Council con soglia 2 su 5 e nessun timelock. Due firmatari sono stati indotti a firmare in anticipo transazioni usando i durable nonce, una funzione di Solana che mantiene valida a tempo indeterminato una transazione firmata invece di farla scadere in pochi minuti. Una migrazione del consiglio il 27 marzo ha annullato le prime firme, e il 30 marzo l’attaccante era di nuovo arrivato a due.
Verso le 16:05 UTC del 1° aprile due transazioni sono arrivate a quattro slot di distanza e hanno consegnato all’attaccante il ruolo di amministratore. L’attaccante ha poi inserito come garanzia CVT, un token creato settimane prima e dotato di uno storico di prezzo vicino a 1 dollaro tramite wash trading, ha puntato il suo oracolo a una fonte che controllava, ha allentato i limiti di prelievo e ha preso in prestito asset reali contro di esso. Le chiavi dei firmatari non sono state rubate, osserva BlockSec: è stato manipolato soltanto il processo di approvazione.
QuillAudits riferisce che il post-mortem di Drift del 5 aprile descriveva un’operazione durata sei mesi, con collaboratori avvicinati di persona alle conferenze da attori legati alla Corea del Nord. Decrypt ha riferito il 5 maggio che la società forense Mandiant ha attribuito l’attacco a un attore affiliato allo Stato nordcoreano. Quell’attribuzione viene da Drift e da società di sicurezza, non da un tribunale. Lo stesso articolo illustra il piano di rimborso: token di recupero trasferibili del valore di 1 dollaro per ogni dollaro di perdita verificata, con Tether che si impegna fino a 127,5 milioni di dollari. È un evento diverso dall’incidente subito da Drift nel 2022.
Kelp DAO ha perso circa 116.500 rsETH, per circa 292 milioni di dollari, il 18 aprile 2026. La rotta del ponte del token su LayerZero usava un solo verificatore, un’impostazione DVN 1-of-1, e quell’unico verificatore è stato ingannato. Il resoconto di LayerZero: gli attaccanti hanno avvelenato due nodi RPC usati dal suo DVN, poi hanno lanciato un DDoS contro quelli puliti perché il messaggio falso fosse quello visto. LayerZero ha indicato nel Lazarus Group della Corea del Nord il probabile responsabile, sulla base di quelli che ha definito indicatori preliminari, e ha detto che avrebbe smesso di firmare per le applicazioni 1-of-1.
Kelp contesta la responsabilità. Sostiene che la configurazione fosse l’impostazione predefinita documentata da LayerZero e che sia stata confermata come adeguata durante l’espansione sulle reti layer 2. Nessuna delle due versioni è stata chiarita. Il danno si è esteso: l’attaccante ha depositato come garanzia su Aave gli rsETH rubati e ha preso in prestito WETH, lasciando circa 190 milioni di dollari di debito inesigibile, ha riferito The Block il 12 maggio 2026. Uno sforzo di restituzione guidato da Aave ha raccolto oltre 300 milioni di dollari in ETH, e Kelp stava passando al CCIP di Chainlink richiedendo quattro attestatori nelle sue impostazioni LayerZero.
I più grandi hack DeFi in una tabella datata
Gli importi sono quelli al momento dell’evento, in dollari, tratti dalle fonti citate sopra e da DefiLlama (letto il 1° novembre 2026). Le fonti spesso differiscono di qualche punto percentuale perché contano in modo diverso fork, catene o prezzi.
| Data | Caso | Perdita all’epoca | Famiglia | Fondi recuperati |
|---|---|---|---|---|
| 17 giu 2016 | The DAO | 3,6 mln di ETH, circa 50-60 mln $ | Reentrancy | Hard fork, 20 lug 2016 |
| 15 e 18 feb 2020 | bZx | Posizioni in perdita di circa 640.000 $ e 800.000 $ | Flash loan, prezzi di un mercato sottile | Nessuna cifra |
| 10 ago 2021 | Poly Network | Circa 610 mln $ | Diritti di accesso cross-chain | Rimanente recuperato dopo 13 giorni, secondo Poly |
| 27 ott 2021 | Cream Finance | Circa 130 mln $ | Flash loan, prezzo della quota come oracolo | Nessuna cifra |
| 2 feb 2022 | Wormhole | 120.000 wETH, circa 320 mln $ | Controllo della firma falsificato | Sostituiti da Jump Crypto |
| 23 mar 2022 | Ronin | Circa 620 mln $ | 5 validatori su 9 presi | Fondi degli utenti in ripristino ad aprile 2022, secondo Ronin |
| 1 ago 2022 | Nomad | Oltre 190 mln $ | Radice fidata impostata a 0x00 | Circa 36 mln $ |
| 11 ott 2022 | Mango Markets | Circa 110-116 mln $ | Manipolazione dell’oracolo | 67 mln $, accordo mediato dal DAO |
| 13 mar 2023 | Euler | Circa 197 mln $ | Controllo di salute mancante, flash loan | Oltre 177 mln $ |
| 30 lug 2023 | Curve (Vyper) | Circa 61,7 mln $ | Il compilatore ha rotto il reentrancy lock | Circa il 68%, secondo DefiLlama |
| 21 feb 2025 | Bybit (exchange) | Circa 1,5 mld $ | Interfaccia di firma compromessa | Nulla restituito dall’attaccante |
| 22 mag 2025 | Cetus | Circa 223 mln $ | Controllo di overflow in una libreria matematica | Circa 162 mln $ congelati |
| 9 lug 2025 | GMX V1 | Circa 42 mln $ | Reentrancy | Circa 40 mln $ |
| 3 nov 2025 | Balancer V2 | Circa 116-128 mln $ a seconda del conteggio | Arrotondamento | 45,7 mln $ recuperati o messi al sicuro, secondo il suo post-mortem |
| 8 gen 2026 | Truebit | Circa 26,4 mln $ | Integer overflow | Nessuna cifra |
| 1 apr 2026 | Drift | Circa 285-295 mln $ | Presa del controllo amministrativo con firme anticipate | Fondi rubati non restituiti; token di recupero, Tether fino a 127,5 mln $ |
| 18 apr 2026 | Kelp DAO rsETH | Circa 292 mln $ | Verificatore 1-of-1, messaggio falso | Raccolta di restituzione oltre 300 mln $ in ETH |
| 30 ago 2026 | Tectonic | Circa 120-124,5 mln $ | Donazione, feed di prezzo sottile | Circa 111,2 mln $ annullati dal rollback della catena |
Per avere un’idea della scala, le voci che DefiLlama classifica come protocolli DeFi sommano circa 2,85 miliardi di dollari nel 2022, 818 milioni nel 2023, 796 milioni nel 2024, 757 milioni nel 2025 e 1,19 miliardi nel 2026 fino al 1° novembre. Considerando tutti i tipi di incidente, exchange e wallet compresi, i suoi totali annui sono circa 3,63 miliardi di dollari per il 2022, 1,63 miliardi per il 2023, 1,67 miliardi per il 2024 e 2,72 miliardi per il 2025. Chainalysis conta oltre 3,4 miliardi rubati nel 2025 con un perimetro più ampio, di cui 1,5 miliardi per Bybit.
Cosa dice lo schema: chiavi e firmatari, ma anche aritmetica
La sintesi allettante è che gli attacchi di codice ingegnosi abbiano lasciato il posto alle chiavi rubate. I dati del 2025 e del 2026 sono meno ordinati. Considerando solo gli incidenti che DefiLlama classifica come protocolli DeFi da gennaio 2025 al 1° novembre 2026, 337 eventi con un importo dichiarato sommano circa 1,95 miliardi di dollari, prima di qualsiasi recupero. Le sue etichette li ripartiscono così:
| Classe DefiLlama | Perso, 2025 – 1° nov 2026 | Esempio |
|---|---|---|
| Contabilità di token e quote | Circa 573 mln $ | Cetus, Balancer, Tectonic |
| Controllo degli accessi | Circa 459 mln $ | Drift |
| Ponti e cross-chain | Circa 375 mln $ | Kelp |
| Compromissione di chiavi | Circa 229 mln $ | Infini, Step Finance |
| Manipolazione degli oracoli | Circa 104 mln $ | Rhea Lend |
| Front end e infrastruttura | Circa 55 mln $ | Resolv USR |
| Reentrancy | Circa 45 mln $ | GMX V1 |
| Tutte le altre classi | Circa 106 mln $ | Abracadabra (logica del protocollo) |
Due cose spiccano. La reentrancy, la famiglia più antica, è diventata piccola, il che si accorda con un decennio di strumenti e con l’abitudine di applicare checks-effects-interactions. I bug di contabilità guidano la tabella, soprattutto per tre incidenti, anche se il congelamento di Cetus e il rollback di Tectonic hanno annullato gran parte di quel totale. La matematica conta ancora e gli audit la lasciano ancora sfuggire. Eppure i due maggiori eventi DeFi singoli del periodo, Drift e Kelp, non hanno richiesto alcuna matematica. I casi più piccoli ripetono il tema: Resolv USR ha perso 24,5 milioni di dollari il 21 marzo 2026 quando è stata compromessa una chiave conservata in AWS e sono stati coniati 80 milioni di token privi di copertura, e Step Finance ha perso 40 milioni di dollari nel gennaio 2026 per dispositivi di dirigenti compromessi, secondo DefiLlama.
Le due domande dell’inizio aiutano quindi più di qualsiasi etichetta. Per un protocollo che usi, o che stai valutando, ecco che cosa suggeriscono di guardare. Nulla di tutto questo è un consiglio di investimento, e un risultato pulito non garantisce nulla.
- Chi può modificare i contratti, qual è la soglia del multisig e c’è un timelock? Il 2 su 5 di Drift senza ritardo significava che un’approvazione rubata aveva effetto subito.
- Su quanti verificatori indipendenti si appoggia un token trasferito con un ponte? La rotta di Kelp ne aveva uno.
- Da dove viene il prezzo e quanto è sottile il mercato che c’è dietro? Mango, Cream e Tectonic ruotavano tutti intorno a questo.
- Il protocollo detiene il token di un altro progetto, direttamente o come garanzia? Il debito inesigibile di Aave veniva da rsETH, non dal codice di Aave.
- Che cosa hanno coperto davvero gli audit, e il vecchio codice custodisce ancora fondi?
Se i tuoi fondi sono finiti in un incidente, smetti di firmare e leggi la nostra guida su ciò che si può recuperare, e considera truffatore chiunque ti offra di riavere i tuoi soldi. L’assicurazione contro questi guasti è il tema della prossima lezione del corso, sulle coperture DeFi: che cosa pagano e che cosa escludono.
