Crypto hacks 2026: il codice non basta

Il Vero Punto Debole È Umano

Per anni il settore ha raccontato gli hack come un problema di codice. Oggi questa lettura è troppo stretta. CertiK segnala phishing, deepfake, compromissioni della supply chain e vulnerabilità cross-chain come i principali vettori delle perdite più pesanti del 2026. Il punto chiave è semplice: l’attacco si sta spostando dal contratto alla persona che lo gestisce, al canale di supporto, alla catena operativa che rende possibile un’azione apparentemente legittima. Questo cambia tutto, perché un audit perfetto non basta se l’ambiente attorno resta fragile.

Gli eventi recenti lo confermano. Chainalysis ha indicato che Drift Protocol ha perso circa 285 milioni di dollari il 1 aprile 2026 in un attacco costruito su accesso privilegiato e social engineering prolungato. Non è la classica storia del bug trovato per caso: è una storia di fiducia costruita con pazienza e poi sfruttata nel momento giusto. Quando la violazione inizia con una conversazione o con una firma data con troppa facilità, il linguaggio dell’“audit prima di tutto” diventa insufficiente.

Aprile Ha Reso Il Rischio Visibile

CertiK ha detto che il settore aveva già perso oltre 600 milioni di dollari in hack nel 2026, con una quota rilevante collegata a due furti attribuiti a gruppi nordcoreani ad aprile. Cointelegraph ha riportato che uno degli episodi ha coinvolto il presunto exploit da 293 milioni di dollari su Kelp DAO, mentre un altro ha colpito Drift Protocol per circa 280 milioni di dollari. Anche tenendo conto delle differenze tra stime preliminari e ricostruzioni successive, il messaggio non cambia: le perdite si stanno concentrando su infrastrutture ad alta fiducia e su compromissioni operative, non solo su errori nel codice.

La tendenza è coerente con il report trimestrale di Hacken, secondo cui nel primo trimestre 2026 phishing e social engineering hanno dominato il panorama, generando 306 milioni di dollari di perdite. Lo stesso quadro emerge dalle indicazioni di CertiK sui vettori di rischio del 2026, che includono deepfake in tempo reale, QR phishing e attacchi alla supply chain software. Non sono tecniche separate: sono tasselli dello stesso schema. Si imita la persona, si altera l’ambiente tecnico, poi si spinge il bersaglio verso un’azione che sembra normale.

Cosa Cambia Davvero Per La Difesa

La conseguenza più scomoda è che la sicurezza crypto conta sempre meno come pura ricerca del bug e sempre più come verifica della decisione umana più debole. Questo alza il costo della difesa. Gli audit degli smart contract restano necessari, ma non sono più il centro del modello di rischio. Al centro entrano procedure di verifica interna, gestione delle chiavi amministrative, separazione dei firmatari, policy sui wallet e controllo rigoroso dei fornitori. A mio avviso, il settore non ha ancora interiorizzato fino in fondo questo passaggio.

Per gli investitori, questo significa che un protocollo tecnicamente raffinato può comunque restare vulnerabile se i canali di comunicazione, i processi di supporto o le dipendenze esterne sono deboli. L’arrivo di agentic AI rende il quadro ancora più severo, perché gli attaccanti possono automatizzare ricognizione, impersonificazione e concatenazione degli exploit con una velocità difficile da eguagliare. Se l’AI abbassa il costo del fingere fiducia, aumenta il premio per i sistemi che la verificano prima di concederla.

What This Means For Investors (Our Take)

Gli investitori dovrebbero smettere di considerare la sicurezza come una voce accessoria e iniziare a trattarla come una variabile di bilancio. Nella DeFi e nell’infrastruttura crypto più ampia, un singolo errore operativo può cancellare in poche ore mesi di reputazione tecnica. Questo vale soprattutto per i progetti che dipendono da multi-sig, team distribuiti, sviluppo esterno o messaggistica cross-chain complessa. La prossima distinzione reale tra progetti arriverà dalla capacità di sopravvivere a impersonificazione, furto di credenziali e compromissione dei fornitori.

Da monitorare: controlli più rigidi sui firmatari, procedure di risposta agli incidenti più trasparenti e una presenza crescente di AI nelle analisi forensi post-attacco. Se questi segnali aumentano, vorrà dire che il settore è passato dal “colpire il contratto” al “colpire il flusso di lavoro”.

Focus: La vera differenza competitiva nella sicurezza crypto non è più il codice migliore: è la minore quantità di assunzioni umane.

Antonio Quinn, Director & Lead Bitcoin Analyst, The Chain Journal