Aggiornamento del 29 ottobre 2026, 12:30 UTC: blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il validatore sostitutivo di Solflare è attivo e la società si è impegnata a pagare le ricompense di staking perse a tutti gli utenti che vi spostano lo stake, ha riferito CoinDesk il 29 ottobre. Gli staker possono fare unstake da «Solflare (Legacy)» e delegare da soli al nuovo validatore, oppure attendere un aggiornamento dell’app che li guiderà; non sono stati annunciati né l’importo né il periodo dell’indennizzo. Su Stakewiz, alle 11:32 UTC del 29 ottobre, il vecchio validatore risultava ancora delinquent, con 1.526.587 SOL delegati.
Solflare, il wallet Solana in self-custody, ha comunicato a tarda sera di martedì 27 ottobre che un incidente di sicurezza presso uno dei suoi provider di staking ha coinvolto le chiavi del validatore Solflare detenute da quel provider. Il validatore ha smesso di produrre ricompense di staking. Secondo la società, i SOL delegati non sono stati toccati e restano nel conto di stake di ciascun utente. Mercoledì 28 ottobre Solflare ha annunciato che un validatore sostitutivo era attivo, secondo CoinDesk. «I fondi degli utenti sono al sicuro», ha dichiarato Solflare, come riportato da The Defiant.
Non è un validatore piccolo. Il tracker validators.app indicava 1.559.012 SOL di stake attivo nell’aggiornamento delle 05:44 UTC del 28 ottobre, circa lo 0,4% di tutti i SOL in staking. Con SOL a 101,8 dollari, il prezzo dello snapshot di mercato di Coindaro delle 05:43 UTC dello stesso giorno, lo stake valeva circa 159 milioni di dollari. The Defiant riporta la stessa cifra di circa 1,56 milioni di SOL, ricavata dai tracker dei validatori. Un giorno dopo lo stake si era mosso poco: Stakewiz, un altro tracker, contava ancora 1.526.587 SOL delegati alle 11:32 UTC del 29 ottobre, circa 32.400 SOL in meno (quasi il 2%).
Cosa è successo al validatore Solflare
Il quadro poggia per ora sul comunicato di Solflare, pubblicato su X e ripreso da diverse testate. Secondo il riepilogo di Spendnode, il provider che gestiva il validatore ha detto a Solflare che le chiavi in suo possesso sono state coinvolte e che le indagini sono ancora in corso. Erano chiavi del provider: non i sistemi interni di Solflare e non i wallet dei singoli utenti.
Solflare non ha reso noto il nome del provider, e nessuna testata che abbiamo consultato lo ha fatto. Quando Crypto Briefing ha pubblicato il suo articolo, alle 19:42 EDT del 27 ottobre (23:42 UTC), né CoinDesk né The Block avevano ancora trattato la vicenda. CoinDesk ne ha scritto il 29 ottobre, anch’essa senza nominare il provider.
Sulla blockchain il quadro è quello di un validatore fermo. Su validators.app la riga di Solflare (commissione del 6%, client Jito versione 4.3.2, membro dello stake pool di Jito) riporta l’etichetta rossa «delinquent». Il tracker non mostra alcun data center per il nodo. Stakewiz mostrava lo stesso quadro alle 11:32 UTC del 29 ottobre: validatore delinquent, zero crediti di epoca.
Perché gli 1,5 milioni di SOL restano negli account degli utenti
Fare staking su Solana non significa consegnare le monete al validatore. Ogni delegante ha un conto di stake separato, controllato da due chiavi. Secondo la documentazione di Solana sugli stake account, la stake authority firma per delegare, disattivare, dividere o unire lo stake, mentre la withdraw authority «ha un controllo maggiore sul conto, perché serve a liquidare i token». In un wallet come Solflare entrambe sono normalmente in mano all’utente.
Le chiavi del validatore non rientrano tra queste autorità: chi le possiede non ha alcuna firma che conti sul conto di stake di un delegante. Riassumendo il comunicato di Solflare, Crypto Briefing scrive che gli stake delegati «sono ancora nel conto di stake di ciascun utente, interamente sotto il suo controllo». È così che dovrebbe funzionare la self-custody: né il wallet né i suoi partner detengono mai le monete.
Non c’è nemmeno una penalità di protocollo che intacchi lo stake. La pagina sullo staking di Solana afferma: «Al momento non esiste un’implementazione dello slashing nel protocollo». Un validatore fermo costa ai deleganti le ricompense che non guadagna più, non il capitale.
Cosa non si sa ancora
Parecchio. Solflare e il suo provider non hanno detto:
- quale società gestisse il validatore, né se i suoi altri validatori siano coinvolti;
- cosa sia successo alle chiavi, quando, e se siano state rubate o se se ne sia semplicemente perso l’accesso;
- quante persone deleghino al validatore e da quale epoca le ricompense si siano fermate;
- se le chiavi compromesse siano state usate per qualcosa, per esempio per cambiare la commissione;
- la data dell’aggiornamento dell’app che guiderà la migrazione, e l’importo, il periodo o la formula dell’indennizzo;
- quale validatore sostituisca il vecchio: nessuna fonte consultata ne indica il nome o il vote account, e Stakewiz non elenca altri validatori con il nome Solflare.
I saldi della carta Solflare, gli USDC e le spese nei punti vendita sono un prodotto separato. L’analisi di Spendnode, non un comunicato di Solflare, sostiene che l’incidente non li riguardi.
Due strade verso il nuovo validatore e un impegno sulle ricompense perse
Il 27 ottobre Solflare diceva agli utenti che per ora non serviva alcuna azione, stando al resoconto di Spendnode del suo post su X. Il giorno dopo il piano era già andato avanti. Il validatore sostitutivo è attivo e Solflare si è impegnata a coprire le ricompense perse di tutti gli utenti che vi migrano, ha riferito CoinDesk il 29 ottobre. Phemex News e ChainCatcher, che citano il post di Solflare su X, riportano le stesse condizioni. Non siamo riusciti ad aprire quel post: le condizioni indicate qui sono quelle del comunicato di Solflare come riportato da queste testate.
Le strade sono due. Uno staker può fare un normale unstake dal validatore che nell’app ora compare come «Solflare (Legacy)» e poi mettere in staking i SOL sul nuovo validatore. Oppure può attendere un aggiornamento dell’app che guiderà la migrazione in pochi passaggi. Le ricompense restano sospese finché lo stake non sarà attivo sul nuovo validatore. Solflare non ha indicato né importo né periodo né formula dell’indennizzo; ChainCatcher scrive che i dettagli saranno annunciati più avanti.
Lo spostamento non è immediato. Su Solana le modifiche allo stake scattano ai confini di epoca, a circa due giorni l’una dall’altra, ricorda CoinDesk: la vecchia delega deve chiudersi prima che la nuova cominci a rendere. La documentazione di Solana avverte che una delega o una disattivazione «richiede diverse epoche per completarsi», con una durata difficile da prevedere. Ogni conto di stake delega a un solo validatore alla volta.
Gli staker hanno anche strade proprie, perché la stake authority è loro: disattivare e poi ritirare i SOL, oppure puntare un conto di stake su un validatore esterno a Solflare. Così come la riporta CoinDesk, la promessa riguarda chi passa al validatore sostitutivo; non dice nulla di chi fa staking altrove. Dove e come fare staking resta una scelta di ciascun possessore.
La migrazione attira i truffatori
Ogni migrazione annunciata richiama quelle false. Solflare dice che lo spostamento avverrà solo dentro la sua app e che non invierà mai messaggi diretti o link agli utenti, riferisce Spendnode. CoinDesk riporta lo stesso avvertimento il 29 ottobre. Un messaggio che offre di «aiutarvi a migrare» lo stake, un link a un sito clone o la richiesta di firmare una transazione che non avete avviato voi nell’app sono una trappola, qualunque sia l’account da cui arrivano. La nostra guida su come evitare le truffe crypto elenca i trucchi più comuni e dove segnalarli.
Un wallet drainer ha bisogno di una sola firma. Il conto di stake è al riparo dalle chiavi del validatore, non dal proprietario che cede le sue autorità su una pagina falsa.
La delega su Solana in due minuti
Su Solana i validatori ricevono ricompense di inflazione in proporzione allo stake delegato e trattengono una commissione, qui il 6%, prima di girare il resto. Un wallet che offre lo staking di solito gestisce o sponsorizza un proprio validatore e affida macchine e chiavi a una società di infrastruttura. È questo meccanismo che si è inceppato. Le monete non si sono mosse; è il rendimento che si è fermato.
I prossimi passaggi da seguire sono l’aggiornamento dell’app che guiderà la migrazione e l’annuncio dell’importo e del periodo dell’indennizzo. Il provider, intanto, non ha ancora detto chi sia né cosa abbiano accertato le sue indagini.