Il phishing ha battuto il codice

La Falla Non È Nel Codice, Ma Nel Comportamento

Nel Web3 le perdite più costose non arrivano più soltanto da bug sofisticati. Arrivano da un link sbagliato, da una chiave compromessa, da un flusso operativo fragile, da una decisione presa troppo in fretta. Nel Q1 2026 Hacken ha conteggiato $464,5 milioni persi in 43 incidenti, e il dato centrale è chiaro: phishing, social engineering e compromissione delle chiavi stanno superando gli exploit puramente tecnici come motore principale delle perdite. È un cambio strutturale, non un dettaglio statistico.

Per il settore, questo significa che la discussione sulla sicurezza va finalmente spostata dove fa più male. Non basta più parlare di audit e di “codice pulito”. Il rischio vive anche nei device, nei wallet amministrativi, nelle autorizzazioni cloud, nei processi multisig e negli endpoint dei dipendenti. Quando la fiducia operativa si rompe, il protocollo può anche restare intatto, ma il capitale no. Ed è lì che la narrativa romantica della decentralizzazione mostra il suo limite più costoso.

I Numeri Che Contano Davvero

Secondo Hacken, circa $306 milioni delle perdite del trimestre sono stati attribuiti a phishing e social engineering, la quota più alta del periodo. Gli exploit di smart contract hanno rappresentato circa $86,2 milioni, mentre le falle di accesso e le compromissioni infrastrutturali hanno inciso in modo rilevante sul totale. Un singolo scam su hardware wallet ha pesato moltissimo sul trimestre, ma sarebbe un errore fermarsi all’episodio più grande. Il messaggio reale è che il danno economico nasce sempre più spesso fuori dal livello del contratto.

Questa lettura è coerente con la traiettoria osservata nei report di sicurezza più recenti. Anche nelle analisi precedenti di Hacken, i fallimenti operativi e i problemi di access control risultavano tra le cause principali delle perdite nell’ecosistema. Il punto è semplice: gli attaccanti non stanno solo cercando di rompere la crittografia della blockchain. Stanno cercando di rompere le persone, i processi e la catena delle approvazioni. Ed è una strategia più economica, più rapida e spesso più efficace.

Perché Il Mercato Sta Ancora Sottovalutando Il Rischio

Molti team continuano a investire di più nella parte visibile della sicurezza e troppo poco in quella invisibile. Un audit solido è utile, ma non protegge una chiave compromessa, un’estensione del browser malevola o un account cloud riutilizzato troppo a lungo. È la parte del mercato che tanti dirigenti preferiscono non dire apertamente. Il risultato è prevedibile: la sicurezza viene trattata come requisito di lancio, non come costo operativo permanente.

Qui entra in gioco anche il fattore regolatorio. Con l’espansione di tokenizzazione, custodia istituzionale e infrastrutture per asset digitali, la tolleranza verso controlli deboli si riduce rapidamente. Un protocollo può assorbire un bug tecnico; fatica molto di più a sopravvivere a problemi ripetuti di governance o accesso. Il punto che molti ancora non vogliono accettare è questo: nel Web3 la decentralizzazione non elimina il rischio umano, lo redistribuisce. E oggi quel rischio è tornato a casa, dentro i processi.

Cosa Significa Per Gli Investitori

Per gli investitori, la conclusione è netta: la sicurezza non è più un evento eccezionale da raccontare dopo un hack, ma una variabile ricorrente da prezzare in modo sistematico. I progetti con buon codice ma cattiva custodia, cattivo controllo degli accessi o governance fragile non sono asset completi. Sono strutture incomplete, quindi più vulnerabili di quanto appaiano nei pitch deck.

Da monitorare nei prossimi mesi: gestione delle chiavi, velocità di risposta agli incidenti, qualità dei multisig, sicurezza dei device e grado di autorità reale dei team di sicurezza. Se i regolatori inizieranno a trattare i guasti operativi come problema di governance, il settore dovrà cambiare molto più in fretta di quanto preveda oggi.

Focus: Nel Web3 i grandi furti partono sempre più spesso da una persona, non da un bug.

Adam McCauley, Senior Blockchain Analyst, The Chain Journal