L'«epoca d'oro» degli hacker

Negli ultimi 5 anni, l'industria delle criptovalute ha registrato oltre 1000 eventi di sicurezza, di cui 28 eventi significativi hanno coinvolto somme superiori a 100 milioni di dollari.

Redazione: Joe Zhou, Foresight News

Questa è l'«epoca d'oro» degli hacker.

Secondo le mie statistiche, negli ultimi cinque anni (da gennaio 2022 a ottobre 2026), l'industria delle criptovalute ha subito almeno 28 eventi di sicurezza significativi che hanno coinvolto somme superiori a 100 milioni di dollari.

Ciò significa che, negli ultimi cinque anni, in media ogni due mesi si è verificato un evento di sicurezza significativo nell'industria delle criptovalute con un valore di 100 milioni di dollari.

Solo questi 28 eventi hanno coinvolto somme superiori a 14,2 miliardi di dollari.

L'evento con il valore più alto è stato l'incidente di sicurezza di Binance avvenuto nell'ottobre 2026, con una stima iniziale ufficiale dell'importo coinvolto di circa 6,3 miliardi di dollari. Il secondo è stato l'incidente di sicurezza di Bybit avvenuto nel febbraio 2025, che ha coinvolto circa 1,46 miliardi di dollari.

Gli attacchi informatici nell'industria delle criptovalute non solo causano perdite sempre più elevate, ma stanno anche diventando sempre più frequenti.

Se allarghiamo la nostra visione oltre questi 28 eventi significativi, secondo il database degli eventi di sicurezza di DeFiLlama, dal gennaio 2022 all'ottobre 2026, l'industria delle criptovalute ha registrato oltre 1000 eventi di sicurezza. Calcolando ciò, si verifica in media circa 18 eventi al mese, il che equivale a un evento di sicurezza ogni due giorni.

Da centinaia di milioni a miliardi di dollari, da attacchi sporadici a eventi ad alta frequenza, l'industria delle criptovalute sta affrontando una continua prova di sicurezza.

Due aree ad alto rischio

Dove attaccano gli hacker per ottenere il massimo profitto?

La risposta è: scambi centralizzati e ponti cross-chain.

Dopo aver analizzato i 28 eventi significativi che hanno coinvolto somme superiori a 100 milioni di dollari negli ultimi cinque anni, ho scoperto che 7 di essi si sono verificati in scambi centralizzati di criptovalute, rappresentando un quarto del totale.

Secondo l'importo inizialmente coinvolto, questi sette eventi sono: 6,3 miliardi di dollari di Binance, 1,46 miliardi di dollari di Bybit, 477 milioni di dollari di FTX, 351,6 milioni di dollari di Bitget, 305 milioni di dollari di DMM Bitcoin, 235 milioni di dollari di WazirX e 120 milioni di dollari di Poloniex.

Questi sette attacchi agli scambi hanno coinvolto un totale di 9,2486 miliardi di dollari.

Al secondo posto ci sono le infrastrutture fondamentali dell'industria delle criptovalute: i ponti cross-chain. Di questi 28 eventi significativi, 7 sono stati legati a ponti cross-chain e infrastrutture cross-chain.

I ponti cross-chain richiedono generalmente di stabilire meccanismi di fiducia tra diverse blockchain; se si verificano problemi con i nodi di verifica, i sistemi di firma o la verifica dei messaggi, possono sorgere lacune significative negli asset.

Calcolando in base all'importo rubato, i 7 eventi di sicurezza legati ai ponti cross-chain sono: 625 milioni di dollari di Ronin Network, 586 milioni di dollari di BNB Chain Bridge (l'importo effettivamente trasferito è di circa 120 milioni di dollari), 326 milioni di dollari di Wormhole, 292 milioni di dollari di KelpDAO, 190 milioni di dollari di Nomad Bridge, 125 milioni di dollari di Multichain e 100 milioni di dollari di Harmony Horizon Bridge. Tra questi, KelpDAO si occupa principalmente di ri-staking della liquidità, ma l'ingresso dell'attacco ha coinvolto il ponte cross-chain rsETH.

In altre parole, in questi 28 eventi significativi, metà di essi si sono verificati in scambi centralizzati e ponti cross-chain. Questi due settori sono diventati i luoghi più concentrati di eventi di sicurezza di grande valore nell'industria delle criptovalute.

È interessante notare che non tutti gli hacker mirano a un «saccheggio sfacciato», poiché si sono verificati anche due eventi di hacker etici.

Ad esempio, dopo l'attacco degli hacker al Nomad Bridge nel 2022, alcuni partecipanti hanno agito come hacker etici, affermando che prendere i fondi era per proteggere gli asset, e alla fine sono stati restituiti circa 36 milioni di dollari.

Liquid Network è un caso ancora più particolare. Nel settembre 2026, un attaccante si è dichiarato hacker etico e ha sfruttato una vulnerabilità per trasferire circa 4000 BTC, restituendo successivamente circa 3400 BTC e mantenendo circa 598,5 BTC.

Gli hacker etici hanno lasciato un barlume di luce in questo mondo di attacco e difesa informatica, simile a una foresta oscura.

Hacker nordcoreani, predatori professionisti

Ogni anno, gli hacker nordcoreani «prelevano» dall'industria delle criptovalute.

Hanno sviluppato un sistema di attacco informatico altamente professionale, prendendo di mira a lungo termine il sistema finanziario globale, le aziende e le agenzie governative per ottenere fondi e informazioni.

Inizialmente, gli obiettivi degli hacker nordcoreani erano più concentrati sui sistemi finanziari tradizionali. Ad esempio, già nel 2016, hanno violato la Banca centrale del Bangladesh, utilizzando il sistema SWIFT per avviare trasferimenti fraudolenti per circa 951 milioni di dollari, riuscendo infine a trasferire 81 milioni di dollari.

Tuttavia, con lo sviluppo dell'industria delle criptovalute, gli obiettivi degli hacker nordcoreani stanno cambiando. Dai recenti casi di furto significativi resi pubblici, gli scambi di criptovalute, i portafogli, i ponti cross-chain e i protocolli DeFi sono diventati obiettivi importanti per ottenere fondi.

Tra i 28 eventi significativi di sicurezza nell'industria delle criptovalute che ho statisticamente analizzato, 10 sono stati chiaramente attribuiti o attribuiti con alta probabilità a gruppi di hacker nordcoreani.

È ancora più degno di nota che ho scoperto che i metodi e le preferenze di attacco degli hacker nordcoreani stanno cambiando. Ad esempio: non cercano più solo vulnerabilità nel codice dei contratti intelligenti, ma stanno sempre più mirando alle persone.

I membri legati alla Corea del Nord possono persino falsificare identità e candidarsi direttamente per lavori remoti presso le aziende di criptovalute. Nel frattempo, gli attaccanti possono impersonare reclutatori, partner commerciali o istituzioni di investimento, guadagnando la fiducia del team attraverso interazioni prolungate, per poi cercare opportunità di infiltrarsi nei dispositivi degli impiegati, negli ambienti di sviluppo e nei processi di firma chiave.

Un uomo ampiamente sospettato di essere legato a un'organizzazione di hacker nordcoreani

L'incidente di furto di Bybit è un caso esemplare. Gli attaccanti non hanno violato direttamente il sistema centrale di Bybit, ma hanno prima compromesso l'ambiente di lavoro degli sviluppatori di Safe, manipolando il contenuto visualizzato nell'interfaccia delle transazioni multi-firma, inducendo i firmatari di Bybit a firmare transazioni malevole, trasferendo infine asset per un valore di circa 1,46 miliardi di dollari.

Il processo di attacco al Drift Protocol è stato ancora più ingannevole. Secondo l'indagine post-furto di Drift, gli attaccanti hanno trascorso mesi a costruire relazioni con il team del progetto, travestendosi da team di trading quantitativo per guadagnare fiducia. Successivamente, hanno sfruttato il meccanismo Durable Nonce di Solana per indurre i membri del comitato di sicurezza a firmare anticipatamente le transazioni. Queste transazioni pre-firmate sono state poi eseguite, consentendo agli attaccanti di ottenere i diritti di gestione di Drift e trasferire circa 290 milioni di dollari di asset. Le agenzie di sicurezza ritengono che questo attacco presenti segni di associazione con hacker nordcoreani, ma l'attribuzione richiede ulteriori conferme.

Dagli scambi ai ponti cross-chain, dalle vulnerabilità del codice alla fiducia delle persone, gli hacker stanno infrangendo ogni linea di difesa nell'industria delle criptovalute.

Quando miliardi di dollari di asset possono cambiare proprietario da un giorno all'altro, e una sola fiducia può diventare l'ingresso per un attacco, la velocità con cui questo settore crea ricchezze sembra superare la capacità di proteggere tali ricchezze.

E questa è l'«epoca d'oro» degli hacker.

Nota: Gli importi statisticamente riportati in questo articolo si riferiscono agli importi rubati inizialmente divulgati, alle dimensioni degli asset anomali o agli importi stimati preliminarmente, e non corrispondono necessariamente alle perdite nette finali. Alcuni eventi coinvolgono congelamenti, recuperi o emissioni anomale, e le perdite effettive possono differire dagli importi inizialmente coinvolti.