Un miliardo di dollari in sei mesi. Il primo semestre del 2026 è ufficialmente il peggiore di sempre per la sicurezza del settore: 212 incidenti censiti tra exploit di protocolli, compromissioni di chiavi e attacchi a piattaforme, per una perdita complessiva vicina al miliardo di dollari — una media di 5,4 milioni per attacco. Il dato racconta due cose insieme: che il valore custodito on-chain continua a crescere, e che la superficie di attacco cresce più in fretta delle difese. Non è un caso che proprio in questi giorni nove tra le maggiori società del settore abbiano fondato un consorzio per gli standard di custodia: l’industria ha letto gli stessi numeri.
Anatomia di un semestre nero
La distribuzione degli attacchi segue uno schema ormai stabile. Al vertice per valore ci sono le compromissioni di chiavi e infrastrutture: accessi amministrativi rubati, sistemi di firma violati, dipendenti compromessi — colpi chirurgici che da soli spiegano una quota sproporzionata delle perdite, perché non forzano il codice: forzano le persone e i processi attorno al codice. Seguono gli exploit di smart contract veri e propri — errori di logica, oracoli manipolati, funzioni di emergenza usate come porte d’ingresso — e i ponti tra blockchain, che restano il punto strutturalmente più fragile dell’ecosistema: concentrano valore enorme dietro superfici di attacco complesse. In coda per valore ma non per frequenza, il phishing e l’ingegneria sociale sui singoli utenti: firme concesse a contratti ostili, approvazioni illimitate mai revocate, front-end clonati. La media di 5,4 milioni per incidente, infine, dice una cosa precisa: non servono più colpi da centinaia di milioni per fare un semestre record — basta la frequenza industriale dei colpi medi.
Il contesto: perché adesso
Il semestre record arriva in un momento non casuale. L’istituzionalizzazione ha moltiplicato i bersagli di alto valore — tesorerie aziendali, custodi, piattaforme di staking — e l’automazione ha industrializzato l’attacco: gli strumenti di scansione trovano vulnerabilità in minuti, non in settimane. Nel frattempo l’allarme sulle backdoor negli exchange acquisiti ha ricordato che il rischio non sta solo nel codice, ma nella catena di controllo societaria delle piattaforme. È il paradosso della maturità: più il settore diventa infrastruttura finanziaria, più i suoi punti deboli valgono.
La difesa razionale: poche regole, applicate sempre
Per l’utente finale la lezione del semestre è quasi banale, ed è la ragione per cui vale la pena ripeterla. Primo: la custodia fredda per tutto ciò che non serve operativamente — le chiavi offline non si rubano con un exploit. Secondo: il portafoglio operativo come un portamonete, non come un caveau: sopra ci sta solo ciò che si è disposti a perdere. Terzo: le approvazioni ai contratti vanno trattate come deleghe bancarie — limitate, verificate, revocate periodicamente. Quarto: nessuna firma su richieste arrivate da link, messaggi o pop-up, per quanto verosimili: il front-end clonato è oggi il vettore più economico che esista. Quinto: per chi custodisce cifre importanti, la firma multipla non è paranoia, è contabilità. Un miliardo in sei mesi non è una statistica astratta: è la somma di migliaia di eccezioni a queste cinque regole.