Una falla Aptos di gravità critica ha dimostrato quanto sottile possa essere il confine tra una blockchain “sicura per costruzione” e un disastro da decine di miliardi. Un gruppo di hacker etici, utilizzando un semplice server a noleggio da circa 3.000 dollari, è riuscito a violare una delle garanzie di sicurezza fondamentali della chain con un tasso di successo vicino al 90%. L’esposizione teorica stimata: circa 70 miliardi di dollari tra stablecoin, bridge cross-chain e protocolli collegati. La vulnerabilità è stata corretta in pochi giorni e nessun fondo è andato perso, ma la vicenda — resa pubblica solo ora, a patch consolidata — è una lezione di sicurezza che l’intero settore farà bene a studiare.
Falla Aptos: cosa è successo
La scoperta risale alla fine di febbraio 2026. I ricercatori di una società specializzata in sicurezza blockchain hanno individuato un bug profondo nella Move VM, la macchina virtuale che esegue tutti gli smart contract di Aptos e che ne rappresenta il cuore tecnologico. Per dimostrare che il problema non era solo teorico, hanno noleggiato un server ben equipaggiato — costo: circa 3.000 dollari — e lo hanno usato per simulare circa un terzo della rete di validatori. Risultato: in 17-18 tentativi su 20 sono riusciti a rompere la garanzia di sicurezza presa di mira. Nessuna chiave rubata, nessun accesso privilegiato, nessun insider: solo hardware commerciale e un difetto software.
La segnalazione è avvenuta attraverso i canali di emergenza della chain il 25 febbraio; la correzione è stata distribuita sulla mainnet nel giro di ore e una patch pubblica è arrivata due giorni dopo. I dettagli tecnici completi sono rimasti riservati per oltre quattro mesi, fino a quando ogni validatore aveva chiuso la porta.
Perché una garanzia “core” conta così tanto
Il difetto era una condizione di stale cache: in specifiche finestre temporali, la macchina virtuale poteva continuare a usare un’informazione di tipo ormai superata su un dato on-chain. Da lì si apriva la strada a un errore di type confusion: il software trattava una risorsa come se fosse una risorsa completamente diversa.
Su una blockchain moderna l'”autorità” è spesso memorizzata direttamente come oggetto on-chain: il permesso di coniare una stablecoin, il controllo di un bridge, la chiave amministrativa di un protocollo di lending. Se la macchina virtuale può essere indotta a leggere un oggetto senza valore come uno di questi oggetti di autorità, l’attaccante ottiene poteri che il protocollo non avrebbe mai dovuto concedergli. È questo il motivo per cui la stima del rischio è salita fino a 70 miliardi di dollari, ben oltre i circa 250 milioni depositati direttamente sui protocolli della chain: i bridge e le infrastrutture condivise delle stablecoin propagano la fiducia da una chain all’altra, e una menzogna raccontata in modo convincente su una rete può essere creduta da molte altre.
Responsible disclosure: il protocollo che ha evitato il disastro
La falla Aptos è anche un caso da manuale di responsible disclosure, la prassi che regola la segnalazione delle vulnerabilità critiche:
- Segnalazione privata: chi scopre la falla la comunica solo al team responsabile, attraverso canali riservati, senza renderla pubblica.
- Patch: il team sviluppa e distribuisce la correzione il più rapidamente possibile, prima che l’informazione circoli.
- Divulgazione ritardata: i dettagli tecnici vengono pubblicati solo quando la rete è interamente migrata e l’exploit non è più praticabile.
L’incentivo economico è il bug bounty: i programmi di ricompensa per le vulnerabilità critiche possono arrivare fino a un milione di dollari. Una cifra importante, ma comunque inferiore a quanto una falla del genere varrebbe sul mercato nero: per questo la scelta etica dei ricercatori non era scontata, e per questo i programmi di ricompensa ben finanziati sono un pilastro della sicurezza dell’intero ecosistema.
La lezione per le L1 giovani (e il confronto con Bitcoin)
C’è un punto strutturale che la falla Aptos mette in evidenza. Le layer 1 di nuova generazione competono aggiungendo complessità: macchine virtuali sofisticate, linguaggi con garanzie formali, throughput elevato. Ogni strato in più è però superficie d’attacco in più. Il paradosso è che proprio Move, un linguaggio progettato per rendere strutturalmente impossibili intere classi di furti, ospitava il difetto: la garanzia era corretta sulla carta, ma l’implementazione che doveva farla rispettare no.
Bitcoin sta all’estremo opposto: un protocollo deliberatamente minimale, con uno script volutamente limitato, oltre quindici anni di funzionamento ininterrotto e il più grande incentivo economico al mondo a trovarne i difetti. Non è invulnerabile, ma la sua semplicità è una scelta di sicurezza, non un limite.
La morale operativa per chi usa DeFi e bridge su chain giovani: il rischio di protocollo esiste anche quando tutto funziona, diversificare le infrastrutture a cui si affida il capitale non è paranoia ma igiene, e la qualità del processo di sicurezza di una chain (bug bounty, tempi di patch, trasparenza post-divulgazione) è un parametro di valutazione tanto quanto il rendimento.
Disclaimer: questo articolo ha finalità esclusivamente informative ed educative e non costituisce consulenza finanziaria né incitazione all’investimento. Ogni decisione resta sotto la responsabilità del lettore.