Tra luglio e settembre 2026 le piattaforme crypto hanno perso circa 1,18 miliardi di dollari in attacchi informatici, in 107 incidenti, secondo pool di un market maker automatico divergono, rispetto a tenere semplicemente gli stessi token. Diventa definitiva al prelievo.">il rapporto trimestrale di Hacken del 15 ottobre rilanciato da Cointelegraph. Il 24 settembre l’exchange Bitget ha perso circa 388 milioni di dollari dai suoi hot wallet e warm wallet su 11 blockchain. Chi ha colpito non ha dovuto forzare nessuna di quelle catene: i prelievi sono stati falsificati dentro i sistemi di Bitget, e le reti li hanno registrati come transazioni valide.
È la risposta breve alla domanda la blockchain può essere hackerata. Le regole di base di Bitcoin ed Ethereum non sono mai state violate da un attaccante. Sono stati trovati e corretti dei bug del software, alcune blockchain piccole sono state conquistate con i cosiddetti attacchi del 51%, e ogni anno vengono rubati miliardi di dollari a exchange, bridge, smart contract e a chi custodisce le chiavi. La catena si rompe di rado. Le porte costruite intorno, molto più spesso.
Per leggere un titolo su un hack basta chiedersi quale strato ha ceduto. Se sai collocare un incidente in uno di cinque strati, capisci se dice qualcosa sulla blockchain in sé e se dice qualcosa su dove stanno i tuoi fondi. Per le truffe che puntano direttamente a te, la lezione precedente di questo percorso, la nostra guida per evitare le truffe crypto, spiega i segnali d’allarme e a chi rivolgersi.
La blockchain può essere hackerata? Cinque strati, cinque risposte
Una blockchain come Bitcoin è un registro condiviso che migliaia di computer tengono allineato. Ogni blocco punta al precedente attraverso un hash, quindi cambiare una vecchia transazione cambierebbe tutti i blocchi successivi, come spieghiamo nella lezione su come funziona una blockchain. La proprietà delle monete si dimostra con una firma digitale fatta con una chiave privata. Rompere questo strato significherebbe falsificare firme o riscrivere la storia contro la volontà della rete.
Quasi tutto ciò che i giornali chiamano «hack della blockchain» accade altrove. App per portafogli, exchange, protocolli di prestito e bridge sono programmi e società che stanno sopra la catena o accanto a essa. Custodiscono chiavi ed eseguono codice, e le persone approvano ciò che compare su uno schermo. Ognuno di questi elementi può cedere senza che la catena ceda.
| Strato | Cosa può andare storto | Un esempio reale |
|---|---|---|
| 1. Protocollo e consenso | Qualcuno ottiene abbastanza potenza di mining o abbastanza stake per riordinare i blocchi recenti | Ethereum Classic, luglio e agosto 2020: 807.260 ETC spesi due volte (Bitquery) |
| 2. Software dei nodi | Un bug nel codice che controlla i blocchi lascia passare una transazione non valida | Bitcoin, 15 agosto 2010: una transazione ha creato più di 184 miliardi di BTC |
| 3. Smart contract e bridge | Un difetto nella logica del contratto, oppure le chiavi rubate di chi gestisce un bridge | The DAO, 2016: oltre 3,6 milioni di ETH sottratti (ethereum.org) |
| 4. Exchange e software dei portafogli | Gli attaccanti raggiungono i sistemi che custodiscono le chiavi o firmano con esse | Bybit, 21 febbraio 2025: circa 1,5 miliardi di dollari (FBI) |
| 5. Le persone | Una vittima digita la seed phrase su un sito falso o firma una transazione malevola | Utenti dell’app Ngrave, 17 ottobre 2026: almeno 2,56 milioni di dollari da circa 70 portafogli |
Perché riscrivere una grande blockchain costa così tanto
In una catena a proof of work vale la storia che ha dietro più lavoro di calcolo. Per cambiare un blocco del passato, un attaccante dovrebbe rifare il lavoro di quel blocco e di tutti quelli minati dopo, poi superare i miner onesti che continuano ad aggiungerne di nuovi. Il white paper di Satoshi Nakamoto del 2008 fonda la sicurezza su questa gara. Parte dal presupposto che i nodi onesti controllino la maggior parte della potenza di calcolo, e sostiene che un attaccante con quella potenza farebbe meglio a usarla per guadagnare monete nuove: dovrebbe trovare più conveniente «rispettare le regole» (traduzione nostra dal testo originale in inglese).
Ethereum usa la proof of stake dal 2022 e la difesa funziona in un altro modo. I validatori bloccano ether per partecipare. Secondo la pagina di ethereum.org su attacchi e difese (in inglese), un gruppo che detenga più di un terzo di tutti gli ether in staking potrebbe impedire alla catena di finalizzare i blocchi, e per riscrivere la storia già finalizzata servirebbe molto di più. I validatori sorpresi a violare le regole perdono una parte dello stake e, come ultima risorsa, la comunità può coordinarsi fuori dal protocollo e decidere di seguire un fork onesto, lasciando all’attaccante la sua catena e il suo stake.
Nessuno dei due modelli rende un attacco impossibile. Lo rendono costoso e, su una rete grande, tale da distruggere il valore che l’attaccante voleva rubare. Anche un attacco di maggioranza riuscito ha dei limiti: senza la chiave privata non può produrre una firma valida, quindi non può muovere le monete degli altri. Può invece annullare i pagamenti recenti dell’attaccante stesso, il cosiddetto double spend, e rifiutarsi di includere le transazioni altrui.
I due veri spaventi di Bitcoin: 2010 e 2018
Chi chiede se Bitcoin sia mai stato hackerato pensa di solito a uno di due episodi. Nessuno dei due ha infranto la crittografia. Entrambi erano bug nel programma che verifica i blocchi, e in entrambi i casi la correzione è arrivata prima che si producessero danni duraturi.
Agosto 2010: 184 miliardi di bitcoin su tre indirizzi
Il 15 agosto 2010 il blocco 74638 conteneva una transazione che creava 184.467.440.737,09551616 bitcoin su tre indirizzi, stando al resoconto del Bitcoin Wiki sull’incidente di value overflow (in inglese). Due di essi ricevevano circa 92,2 miliardi di BTC ciascuno. L’offerta totale non doveva mai superare i 21 milioni.
La causa era aritmetica. Ogni output era un numero così grande che, quando il software sommava gli output per controllare che non superassero l’input, la somma superava il valore massimo memorizzabile, ripartiva da capo e risultava un numero negativo. Il controllo passava. Gli sviluppatori sul forum Bitcointalk notarono il blocco anomalo lo stesso giorno e, secondo il wiki, una nuova versione del client era disponibile entro cinque ore dalla scoperta.
Satoshi pubblicò la correzione come versione 0.3.10, con le istruzioni: chiudere il programma, sostituire i file dei blocchi con una copia pulita precedente al blocco difettoso, aggiornare e lasciare che il software scaricasse il resto. Il software corretto rifiutava ogni transazione i cui output andassero in overflow o superassero i 21 milioni di BTC. La catena si spezzò per circa un giorno: i nodi non aggiornati continuavano a costruire sul blocco difettoso, quelli aggiornati costruivano un ramo nuovo senza di esso. Il ramo onesto superò l’altro al blocco 74691, il 16 agosto, scrive il wiki, e da quel momento tutti i nodi lo considerarono la storia vera. I 184 miliardi di monete non sono mai esistiti sulla catena che Bitcoin usa oggi.
Settembre 2018: il bug degli input duplicati, CVE-2018-17144
Otto anni dopo, un difetto nelle versioni di Bitcoin Core dalla 0.14.0 alla 0.16.2 avrebbe potuto permettere a un miner di creare un blocco con una transazione che spendeva le stesse monete due volte. La versione 0.14 si sarebbe semplicemente bloccata davanti a un blocco simile, un denial of service. Nelle versioni 0.15 e 0.16, in certe condizioni, il blocco sarebbe stato accettato e le monete contate due volte: inflazione.
La divulgazione completa di Bitcoin Core del 20 settembre 2018 (in inglese) ricostruisce la cronologia. Il bug fu segnalato il 17 settembre come semplice crash. Lo stesso giorno lo sviluppatore Matt Corallo scoprì che era anche un bug di inflazione. Il 18 settembre uscì la versione corretta 0.16.3, con note che descrivevano solo il rischio di crash, per dare agli operatori il tempo di aggiornare prima che la metà più grave diventasse pubblica. Alla divulgazione completa, due giorni dopo, gli sviluppatori stimavano che oltre metà dell’hash rate di Bitcoin usasse già software corretto, e scrissero: «We are unaware of any attempts to exploit this vulnerability», cioè non risultavano tentativi di sfruttare la vulnerabilità.
Cosa hanno in comune i due bug
In entrambi i casi firme e hash hanno fatto esattamente ciò per cui sono fatti. Il punto debole era codice ordinario che conta importi, individuato da persone che leggevano blocchi e codice sorgente, e chiuso con un aggiornamento che gli operatori dei nodi hanno scelto di installare. Lo schema si ripete. Il 9 ottobre 2026 XRP Ledger ha reso noto un bug di integer overflow rimasto nel motore dei pagamenti dal 2015, corretto il 25 settembre senza segni di sfruttamento. Il 14 ottobre la privacy coin Pirate Chain ha scoperto un bug di validazione che aveva permesso a qualcuno di creare circa 39,8 milioni di ARRR, circa un quinto dell’offerta.
Blockchain più piccole e attacchi del 51%
L’attacco del 51% è la versione brutale della rottura del primo strato: si noleggia o si costruisce più potenza di mining di tutto il resto della rete, si mina in segreto una catena privata e poi la si pubblica perché sostituisca quella pubblica. Le monete che l’attaccante aveva mandato a un exchange, e già scambiato o prelevato, tornano al suo indirizzo nella nuova storia. All’exchange resta un deposito che non esiste più.
Bitcoin Gold, una derivazione di Bitcoin del 2017 con molta meno potenza di mining alle spalle, ci è passata nel maggio 2018. L’attaccante ha preso di mira gli exchange, non i singoli utenti, e sull’indirizzo a cui sono stati ricondotti i fondi sono transitati più di 388.000 BTG, oltre 18 milioni di dollari di allora, come riportava BleepingComputer il 24 maggio 2018 (in inglese). «The cost of mounting an ongoing attack is high», ha scritto il team di Bitcoin Gold: sostenere un attacco prolungato costa molto, ed è per questo che l’attaccante ha cercato depositi grandi e rapidi.
Ethereum Classic, la catena che ha mantenuto la storia originale di Ethereum dopo la scissione del 2016, è stata colpita almeno due volte nell’agosto 2020. Nel primo attacco, l’analisi di Bitquery (in inglese) ha trovato che l’attaccante aveva comprato potenza di calcolo sul mercato di noleggio NiceHash per circa 17,5 BTC (circa 192.000 dollari), minato in privato dalle 16:36 UTC del 31 luglio e speso due volte 807.260 ETC, circa 5,6 milioni di dollari. Pochi giorni dopo ne arrivò un secondo: The Block ha riferito il 6 agosto 2020 (in inglese) di una riorganizzazione di più di 4.000 blocchi al blocco 10.935.622, dopo la quale Binance e Bitfly, la società dietro il pool Ethermine, hanno sospeso depositi, prelievi e pagamenti in ETC.
L’aritmetica spiega perché succede alle catene piccole e non a quelle grandi. Poche centinaia di migliaia di dollari di potenza noleggiata possono bastare a sopraffare una rete con pochi miner. Su Bitcoin, un attaccante dovrebbe superare un’intera industria di macchine costruite per quell’unico compito; su Ethereum dovrebbe comprare e bloccare una quota enorme di tutti gli ether in staking, che poi può essere tagliata. Sulle catene piccole gli exchange si proteggono aspettando più conferme prima di accreditare un deposito.
Dove avvengono davvero gli hack crypto: contratti, bridge, exchange, portafogli
Il terzo e il quarto strato sono quelli in cui finiscono le cifre più grandi. Qui la blockchain registra il furto fedelmente, perché dal suo punto di vista ogni transazione era firmata correttamente.
Smart contract e codice DeFi
Uno smart contract è un programma memorizzato sulla catena che custodisce e sposta fondi da solo. Se la sua logica ha un buco, chiunque può chiamarlo in un modo che gli autori non avevano previsto, e la catena eseguirà il risultato. Il primo caso celebre è The DAO su Ethereum nel 2016: un contratto insicuro fu svuotato di oltre 3,6 milioni di ETH, secondo la pagina di storia di ethereum.org (in inglese). Resta l’unica volta in cui Ethereum ha cambiato la propria storia per annullare un furto. Un fork il 20 luglio 2016, al blocco 1.920.000, spostò i fondi su un contratto di recupero, e chi rifiutò il fork continuò a far girare la vecchia catena, che divenne Ethereum Classic.
I bug di codice sono tra gli incidenti più frequenti, ma raramente i più costosi. CertiK ha contato 204 incidenti per vulnerabilità del codice nel primo semestre 2026, più di ogni altra categoria, per 151,6 milioni di dollari di perdite, una piccola parte del totale semestrale. Un esempio recente su Coindaro: NEAR Intents, un sistema di scambio tra catene, ha perso circa 3,8 milioni di dollari tra il 29 settembre e il 1° ottobre 2026 per un difetto nel proprio contratto, e li ha recuperati tutti il 2 ottobre.
I bridge tra blockchain
Un bridge blocca monete su una catena ed emette token corrispondenti su un’altra. Il fondo bloccato può essere enorme, ed è spesso custodito da un piccolo gruppo di chiavi. Il 23 marzo 2022 il Lazarus Group nordcoreano ha sottratto quasi 620 milioni di dollari a un progetto blockchain legato al gioco Axie Infinity, ha dichiarato il Tesoro americano il 6 maggio 2022 (in inglese) quando ha sanzionato un mixer usato per ripulirne una parte. Il bersaglio era il bridge Ronin. Il Tesoro l’ha definito il più grande furto di valuta virtuale fino a quel momento. Qualunque fosse il punto d’ingresso, il denaro è uscito dal bridge, non da un difetto di Ethereum, dove si trovava l’ether rubato.
Exchange e custodi
Un exchange centralizzato custodisce le monete dei clienti in portafogli che controlla. Se si entra nei suoi sistemi, si possono muovere quelle monete con firme valide. Mt. Gox, un exchange di bitcoin di Tokyo, ha chiesto la protezione dai creditori nel febbraio 2014 dopo che circa 850.000 BTC erano stati dichiarati persi tra hack e furti. Il suo curatore ha spostato ancora la scadenza dei rimborsi con un avviso del 16 ottobre 2026, al 31 ottobre 2027.
Il furto a Bitget del 24 settembre 2026 mostra come cede oggi questo strato. Bitget afferma che le sue chiavi private non sono state compromesse e che il cold storage non è stato toccato. L’attaccante ha invece usato una falla zero-day in un prodotto di sicurezza di terzi per raggiungere i sistemi interni, ha ottenuto credenziali ad alto privilegio e ha iniettato comandi di prelievo falsi nel backend dei portafogli, dove hanno superato i controlli di rischio come prelievi normali. Bitget ha risarcito i clienti con il proprio fondo di protezione e ha riaperto tutti i prelievi il 2 ottobre.
Software dei portafogli, dispositivi e schermate di firma
La tua app per il portafoglio è software, e il software può essere avvelenato. Il 21 ottobre 2026 la Polkadot Community Foundation ha avvertito che quattro versioni dell’estensione per browser Fearless Wallet, in uso da febbraio 2025, contenevano codice che inviava le chiavi private degli utenti al server di un attaccante. I portafogli hardware tengono le chiavi lontano dal computer, ma dipendono comunque da app di supporto, aggiornamenti e dallo schermo su cui si approva una transazione. Il più grande furto crypto mai registrato, come lo descrive NCC Group, è passato proprio da una schermata di quel tipo.
L’hack di Bybit: Ethereum ha funzionato, la schermata di firma no
Intorno al 21 febbraio 2025 Bybit ha perso circa 1,5 miliardi di dollari in asset virtuali. L’FBI ha dichiarato il 26 febbraio 2025 (in inglese) che la responsabile era la Corea del Nord, e chiama questo gruppo di attori TraderTraitor. I tracker danno totali leggermente diversi a seconda di come valutano i token, da circa 1,45 miliardi di dollari per CertiK a 1,5 miliardi per Chainalysis.
Il meccanismo, ricostruito da NCC Group nel marzo 2025 (in inglese), è questo. Bybit teneva una grande riserva, compresi 401.347 ETH, in un cold wallet in cui ogni transazione richiedeva l’approvazione di più dipendenti tramite Safe{Wallet}, un servizio multisignature. Gli attaccanti avevano alterato il JavaScript dell’interfaccia web di Safe{Wallet}. Quando i firmatari di Bybit sono andati ad approvare quello che sembrava un normale trasferimento dal cold al hot wallet, il codice ha sostituito dietro lo schermo un’altra transazione. Quella transazione cedeva il controllo del contratto del portafoglio a codice scritto dagli attaccanti, che lo hanno svuotato.
Ogni firma era valida. Ethereum le ha verificate, ha incluso la transazione in un blocco e ha continuato a produrre blocchi come sempre. Nel protocollo non si è rotto nulla. Ha ceduto la catena di fiducia tra una pagina web e le persone che approvavano un pagamento che non potevano leggere per intero, una pratica nota come blind signing.
Il denaro è poi passato per lo schema di riciclaggio che Chainalysis descrive per i furti nordcoreani: scambi in altri asset, bridge verso altre catene, mixer, in un ciclo di circa 45 giorni. L’FBI ha chiesto a exchange, bridge e operatori di nodi di bloccare le transazioni collegate agli indirizzi che aveva pubblicato.
Gli utenti: phishing, seed phrase rubate e coercizione fisica
Per un normale possessore di crypto, l’attaccante più probabile non è un’unità di hacker statali che punta a un exchange. È qualcuno che cerca di farti consegnare la seed phrase, o di farti firmare una transazione che non dovresti firmare.
Chainalysis ha contato 158.000 furti da portafogli personali nel 2025, con almeno 80.000 vittime, per circa 713 milioni di dollari nella sua stima prudente. In valore, i portafogli personali erano il 44% di tutte le crypto rubate nel 2024 e circa il 20% nel 2025, quota che secondo Chainalysis sarebbe stata del 37% senza il solo furto di Bybit. CertiK, che usa categorie diverse, ha trovato che il phishing è stato l’attacco più frequente nel 2025, con 248 incidenti e 722,9 milioni di dollari persi.
Due episodi delle ultime due settimane mostrano le strade. Il 17 e 18 ottobre 2026 un attaccante ha svuotato 1.404 portafogli Qubic in meno di due ore, perché il software che aveva generato le loro seed di recupero le aveva rese indovinabili. Nello stesso fine settimana un falso avviso di sicurezza diffuso attraverso l’app LIQUID di Ngrave, produttore di portafogli hardware, ha mandato gli utenti su una copia del suo sito, dove chi ha digitato la frase di recupero ha perso almeno 2,56 milioni di dollari da circa 70 indirizzi. Ngrave dice che né il codice dell’app né i dispositivi sono stati violati.
La regola che protegge dal secondo tipo è semplice e assoluta: la seed phrase si digita solo nel portafoglio che l’ha creata, o in un dispositivo che stai ripristinando, mai in un sito web o in una chat di assistenza. La nostra guida alla sicurezza della seed phrase spiega come conservarla, e la lezione su chiavi private e pubbliche spiega perché chi ha la frase possiede le monete.
Poi c’è l’attacco che nessun software può fermare. Chainalysis ha stimato il 6 agosto 2026 (in inglese) che nel primo semestre 2026 siano stati sottratti più di 30 milioni di dollari con «wrench attack», aggressioni violente a possessori di crypto, dopo il record di 58 milioni nel 2025. La Francia aveva registrato 30 episodi noti al pubblico a metà anno, il numero più alto tra i Paesi, un’impennata che Chainalysis attribuisce con ogni probabilità a una fuga di dati: nel 2024 un funzionario del fisco francese sarebbe accusato di aver rubato e venduto file su ricchi possessori di crypto, compresi i loro indirizzi.
Quanto si ruba ogni anno in crypto, e perché i tracker non concordano
Diverse società pubblicano i totali dei furti. Raramente coincidono, perché ognuna traccia la linea in modo diverso: alcune contano solo gli attacchi alle piattaforme, altre aggiungono il phishing ai singoli; alcune si fermano a inizio dicembre; i token rubati sono valutati a date diverse; i fondi congelati o restituiti sono sottratti da alcuni e non da altri.
| Tracker (pubblicazione) | Periodo | Rubato | Dettaglio |
|---|---|---|---|
| Chainalysis (19 dic 2024) | 2024 | 2,2 miliardi di dollari | 303 incidenti; Corea del Nord circa 1,34 miliardi (61%); compromissioni di chiavi private 43,8% del valore |
| CertiK Hack3d (rapporto 2025) | 2024 | 2,45 miliardi di dollari | Dato di confronto riportato nel rapporto 2025 di CertiK |
| Chainalysis (18 dic 2025) | gennaio-inizio dicembre 2025 | oltre 3,4 miliardi di dollari | Bybit 1,5 miliardi; Corea del Nord almeno 2,02 miliardi, un record |
| CertiK Hack3d (rapporto 2025) | 2025 | 3,35 miliardi di dollari | Supply chain 1,45 miliardi in 2 incidenti; phishing 722,9 milioni in 248 |
| Immunefi (rapporto 1° trim. 2025) | gennaio-marzo 2025 | 1,64 miliardi di dollari | 40 incidenti, tutti hack; 348 milioni nel 1° trim. 2024 |
| CertiK Hack3d (6 lug 2026) | gennaio-giugno 2026 | 1,32 miliardi di dollari | 344 incidenti; circa 1,2 miliardi al netto di fondi congelati o restituiti |
| Hacken, via Cointelegraph (15 ott 2026) | luglio-settembre 2026 | circa 1,18 miliardi di dollari | 107 incidenti; peggior trimestre dal 1° trimestre 2025 |
Un solo furto può fare un anno: da solo Bybit è stato più di quattro decimi del 2025 sia nei conteggi di Chainalysis sia in quelli di CertiK. E le perdite maggiori continuano a venire da attacchi a chiavi e processi di firma, non dalle catene. Nel primo semestre 2026 CertiK ha messo al primo posto le compromissioni di portafogli con 444,5 milioni di dollari in 33 incidenti e al secondo il phishing con 366,3 milioni in 63. I suoi due casi più grandi, la compromissione di Kelp DAO (circa 291 milioni) e la violazione di Drift Protocol (circa 285 milioni), entrambi in aprile, hanno pesato quasi il 44% del semestre. Il nostro articolo sui dati del terzo trimestre mette a confronto Hacken, CertiK e DefiLlama riga per riga.
Le frodi vanno tenute separate da questi numeri. Truffe di investimento, piattaforme false e raggiri sentimentali sono contati a parte dalle forze dell’ordine e sono ancora più grandi; se ne parla nella guida sulle truffe, non qui.
Cosa significa per dove tieni le tue monete
Quindi la blockchain può essere hackerata? Allo strato di base di una rete grande, raramente, e la domanda utile diventa: di quali altri strati mi sto fidando? La risposta dipende da dove stanno le tue monete. Non è un consiglio di tenere o vendere qualcosa, solo una mappa dei rischi.
- Le monete su un exchange sono protette dalla sicurezza e dalle finanze dell’exchange stesso. Se viene hackerato o fallisce, ciò che recuperi dipende dalle sue riserve, dall’assicurazione o dal fondo di protezione, e dai tribunali.
- Le monete in un portafoglio self-custody dipendono dal software del portafoglio, dal dispositivo su cui gira e da te, che devi tenere segreta la seed phrase. La nostra guida ai portafogli crypto confronta le opzioni.
- Un portafoglio hardware tiene la chiave privata fuori dal computer e dal telefono, e chiude gli attacchi software più comuni; la nostra guida passo passo al portafoglio hardware mostra come configurarne uno.
- Le monete depositate in un protocollo DeFi o mandate attraverso un bridge aggiungono il rischio di quel codice e di chi controlla le sue chiavi di amministrazione.
- Qualunque sia il portafoglio, leggi ciò che firmi. Se il dispositivo o l’app non ti mostra con chiarezza dove vanno i fondi, considera la richiesta sospetta.
Il punto di vista italiano: Consob e autorizzazione MiCA
In Italia l’autorità a cui guardare è la Consob. Il suo comunicato stampa del 15 ottobre 2026 annuncia l’oscuramento di 10 siti internet: 5 prestavano servizi di investimento senza autorizzazione e 5 prestavano abusivamente servizi per le cripto-attività. Dal luglio 2019, quando l’Autorità ha avuto il potere di ordinare l’oscuramento dei siti di intermediari abusivi, i siti oscurati sono saliti a 1.848, di cui 240 legati alle cripto-attività. Per quelli sulle cripto-attività la Consob cita i poteri del regolamento stablecoin e i prestatori di servizi per le cripto-attività (CASP) in tutta l’UE. Si applica pienamente dal 30 dicembre 2024.">MiCAR e del decreto legislativo 129/2024.
L’indicazione ai risparmiatori è pratica: prima di investire, verificare che l’operatore sia autorizzato e, per le offerte di cripto-attività, che sia stato pubblicato il white paper. Il periodo transitorio di MiCA si è chiuso al più tardi il 1° luglio 2026, come spieghiamo nella nostra guida al regolamento MiCA: un operatore che serve clienti in Italia deve essere autorizzato o aver notificato la propria attività, e il controllo si fa sul sito dell’autorità, non sulla fiducia in un annuncio.
La stessa comunicazione avverte che le truffe online si evolvono, con e-mail e siti «clonati», profili contraffatti di figure politiche e personaggi famosi e contenuti generati con l’intelligenza artificiale. Anche chi ha già perso soldi è un bersaglio. Il 15 dicembre 2025 la Consob ha segnalato e-mail false (in inglese) inviate a nome dell’Autorità, che promettono di recuperare perdite passate o di «sbloccare» fondi detenuti all’estero in cambio di un pagamento. La Consob precisa che quelle attività non hanno alcun legame con l’Autorità e che essa non chiede al pubblico pagamenti né dati personali per finalità di investimento. Chi ha subito un furto e riceve un’offerta di recupero a pagamento ha quindi quasi certamente davanti una seconda truffa. Come si tratta fiscalmente una perdita è materia di una lezione successiva sulle tasse.
I più grandi hack della storia crypto, da Mt. Gox a Bybit, saranno letti caso per caso in una lezione successiva di questo percorso.
