Crypto hack, la falla vera è l’accesso

Le chiavi private sono il nuovo fronte

La lezione più importante dei dati sui crypto hack è scomoda per un settore che ama parlare di audit, bug bounty e formal verification. Il rischio dominante non è più solo una falla nello smart contract. È l’accesso. Quando un attaccante ottiene una chiave privata, una transazione firmata o il device di un amministratore, il resto della difesa spesso perde valore. È questo il punto centrale: le perdite più grandi nascono sempre più dallo strato umano e operativo, non solo dal design del protocollo.

Il conteggio di lungo periodo attribuito a DefiLlama colloca i furti crypto dell’ultimo decennio intorno a 17 miliardi di dollari, con i compromessi delle chiavi private come vettore sempre più rilevante. I casi più recenti del 2026 confermano la traiettoria. Il mercato sa intercettare meglio i bug di codice, ma gli attaccanti stanno imparando a bypassare il codice del tutto. In termini pratici, questo significa che sicurezza dei treasury, igiene degli endpoint e custodia delle chiavi sono diventati temi di mercato, non solo di ingegneria.

Cosa dicono i casi recenti

Gli incidenti più recenti sono utili perché separano la vecchia narrativa da quella nuova. Tra il 2025 e l’inizio del 2026, alcuni degli eventi più pesanti non sono stati i classici bug di logica DeFi. Hanno coinvolto chiavi compromesse, workstation infette, social engineering o permessi abusati dentro il perimetro di fiducia. Step Finance ha segnalato un drenaggio di circa 40 milioni di dollari dopo la compromissione dei device esecutivi. Resolv Labs ha comunicato un incidente legato alle chiavi private e alla propria infrastruttura. Altri danni sono arrivati da phishing, contatti aziendali falsi e ingressi a bassa frizione che aggirano lo strato del codice.

La distinzione è decisiva. Un exploit di smart contract genera quasi sempre un post-mortem tecnico e una patch. Un key compromise impone una domanda molto più dura: quante persone, quanti device, quante policy e quanti passaggi di approvazione separano l’attaccante dal treasury? Il settore continua a prezzare la sicurezza come se fosse soprattutto un problema software. I dati suggeriscono invece che si tratti di un problema di sistema e governance.

La narrativa sulla sicurezza DeFi è troppo stretta

Molti commenti trattano gli hack come una prova del fallimento della decentralizzazione in sé. È una lettura troppo semplice. La conclusione più precisa è che la decentralizzazione non elimina la fiducia operativa; la redistribuisce. Le chiavi vanno generate, custodite, ruotate e protette. I sistemi multisig dipendono comunque dalla sicurezza degli endpoint. I team restano esposti a persone che possono essere ingannate, truffate o compromesse. In altre parole, la DeFi può eliminare intermediari, ma non il bisogno di un controllo rigoroso dell’autorità.

Dal punto di vista di mercato, questo significa che “nessun bug nello smart contract” non equivale a “sicuro.” Troppi investitori premiano i protocolli per la qualità del codice e ignorano la domanda meno visibile sull’architettura della custodia. Eppure le perdite più gravi arrivano spesso proprio da quei livelli più noiosi. Se l’anello debole è un laptop, un browser extension o un flusso di firma, allora il vero vantaggio non è un altro badge di audit: è la maturità operativa. Ed è proprio per questo che viene sottovalutata.

Cosa significa per gli investitori

La conclusione pratica è che la sicurezza crypto va valutata come infrastruttura finanziaria, non come sicurezza di un’app. Gli investitori dovrebbero guardare a custodia delle chiavi, segmentazione dei privilegi, policy sui dispositivi e capacità di risposta agli incidenti con la stessa attenzione dedicata a TVL o crescita delle fee. I protocolli che dimostrano controlli operativi più solidi meritano un premio, perché hanno meno probabilità di trasformare una singola compromissione in una perdita catastrofica. In un mercato dove una chiave rubata può cancellare mesi di lavoro, la sicurezza non è più un tema secondario.

Da qui in avanti, osservate tre segnali: se i protocolli pubblicano policy più chiare su custodia e firma, se assicuratori e auditor iniziano a distinguere tra rischio di codice e rischio di chiave, e se i nuovi exploit continuano a spostarsi verso compromissioni umane invece che difetti del contratto. Se questa tendenza prosegue, il premio di sicurezza dell’industria si sposterà dalla qualità del software alla disciplina dei controlli.

Focus: Il rischio più grande nel crypto non è il codice rotto: è l’accesso rotto.

Adam McCauley, Senior Blockchain Analyst, The Chain Journal