Gli exploit di Bitget e Liquid portano gli hack nel settore crypto a 1,2 miliardi di dollari nel terzo trimestre

Gli hack di criptovalute sono aumentati vertiginosamente, raggiungendo 1,18 miliardi di dollari in 107 incidenti registrati nel terzo trimestre del 2026, secondo la società di sicurezza Hacken.

Il rapporto di Hacken sul terzo trimestre ha attribuito il 77% delle perdite, pari a circa 906 milioni di dollari, a fornitori o strumenti per sviluppatori compromessi, correzioni rese pubbliche ma non ancora implementate o altri componenti al di fuori delle verifiche di sicurezza.

I quattro incidenti più gravi hanno incluso l’hack da 387 milioni di dollari di Bitget, l’exploit da 320 milioni di dollari di Liquid Network, l’exploit da 120 milioni di dollari di Tectonic, e la vulnerabilità del firmware di Coldcard, associata a perdite stimate di 115 milioni di dollari.

Questo terzo trimestre è stato il più dannoso per gli hack nel settore delle criptovalute dal primo trimestre del 2025, quando la perdita di 1,4 miliardi di dollari di Bybit a causa della Corea del Nord ha portato il totale a 1,6 miliardi di dollari.

Perdite e composizione complessive del terzo trimestre. Fonte: Hacken

Circa l’80% delle perdite del trimestre si è concentrato in quattro dei maggiori incidenti, mentre 98 incidenti hanno registrato perdite inferiori a 10 milioni di dollari. La perdita mediana tra tutti i 107 incidenti è stata di 670.000 dollari.

Sebbene le compromissioni dei fornitori e i guasti alle infrastrutture abbiano determinato gran parte del valore sottratto, gli incidenti legati agli smart contract sono stati i più frequenti, con perdite pari a 228 milioni di dollari in 71 incidenti, risultando il vettore d’attacco più sfruttato.

Correlato: Anthropic avverte che i «vermi dell’IA» potrebbero diffondersi autonomamente tra i dispositivi come un virus

Circa un terzo delle perdite è stato restituito o annullato dopo gli attacchi alle criptovalute del terzo trimestre

Dei 1,18 miliardi di dollari persi, circa 387 milioni sono stati restituiti o annullati, pari al recupero di circa il 33% delle perdite lorde.

Dopo l’attacco a Liquid Network, gli autoproclamati «white hat» hanno restituito 272 milioni di dollari, pari a circa l’85% del valore sottratto.

Nell’incidente di Tectonic, i validatori di Cronos hanno effettuato un rollback di 114 minuti della cronologia consolidata della blockchain, annullando circa 111,2 milioni dei 120,4 milioni di dollari di prestiti interessati. Inoltre, gli emittenti di stablecoin Circle e Tether hanno congelato circa 340.000 dollari collegati al furto ai danni di Bitget.

Gli operatori hanno coperto con fondi propri ulteriori 410 milioni di dollari di perdite degli utenti. Il fondo di protezione degli utenti di Bitget ha coperto 387 milioni di dollari, mentre Triple-A, Coinsbuy e TAC hanno rimborsato circa 22 milioni di dollari, risarcendo integralmente gli utenti, mentre gli asset rubati sono rimasti agli aggressori.

Circa 384 milioni di dollari, pari al 32% delle perdite lorde, non sono stati né restituiti né coperti.

Importo delle perdite coperte dagli operatori, confrontato con quello restituito o stornato. Fonte: Hacken

Hacken ha esortato gli operatori del settore a rafforzare la cybersicurezza dei fornitori terzi, degli strumenti per sviluppatori e di altre infrastrutture esterne che potrebbero non essere sottoposte ad audit di sicurezza.

La società ha inoltre raccomandato ai protocolli di ampliare gli audit di sicurezza includendo oracoli, bridge, sistemi di custodia, autorità di firma e altri componenti privilegiati.

Rivista: All'interno della «finta retata della polizia» che ha costretto a trasferire 1 milione di dollari in Bitcoin