Che cos'è la sicurezza blockchain e perché è importante per le tue criptovalute

$1,5 miliardi. Spariti in un pomeriggio. Era Bybit, febbraio 2025. Il Lazarus Group della Corea del Nord non ha nemmeno provato a forzare la crittografia di Ethereum. Ha puntato sulle persone: JavaScript dannoso nell'interfaccia del portafoglio, un token di sessione AWS dirottato, autenticazione multi-fattore aggirata, 401.347 ETH rubati. L'FBI ha confermato chi era entro poche settimane.

Quel numero è difficile da accettare perché rappresenta più di tutti gli exploit DeFi del 2025 insieme. Un errore operativo in un exchange, e $1,5 miliardi spariscono. Chainalysis ha contato $3,4 miliardi in furti totali su blockchain nel 2025, il 55% in più rispetto ai $2,2 miliardi del 2024. La blockchain stessa era al sicuro. Gli umani che la gestivano no.

Come la blockchain protegge le tue transazioni#

Una blockchain è un registro distribuito: un database copiato su migliaia di computer in tutto il mondo. Quando invii Bitcoin o interagisci con un contratto intelligente su Ethereum, quella transazione viene convalidata dalla rete prima di diventare permanente. Tre aspetti rendono difficile manomettere questo processo.

L'hashing crittografico collega ogni blocco a quello precedente. Ogni blocco contiene un hash (un'impronta digitale matematica) dei dati del blocco precedente. Per alterare una transazione, dovresti ricalcolare ogni hash nella catena dopo di essa. Su Bitcoin, con milioni di miner che eseguono calcoli SHA-256, serve una potenza di calcolo superiore a quella disponibile nella maggior parte dei paesi.

La decentralizzazione distribuisce il registro su migliaia di nodi. Un database bancario tradizionale risiede su server in una sola posizione: hackeralo e controlli i dati. Una rete blockchain non ha un singolo punto di guasto. Il registro esiste dappertutto contemporaneamente. Per comprometerla devi compromettere la maggioranza di quei nodi nello stesso momento, in paesi diversi, su reti e operatori diversi.

I meccanismi di consenso forzano la rete a concordare prima che qualcosa sia registrato. I miner di Bitcoin consumano elettricità risolvendo puzzle crittografici per guadagnare il diritto di convalidare le transazioni. I validatori di Ethereum mettono in gioco il loro ETH come garanzia: se approvano una transazione fraudolenta, perdono la loro posta. Entrambi gli approcci rendono costoso imbrogliare. Attaccare il Proof of Work di Bitcoin costerebbe miliardi in hardware ed elettricità. Attaccare il Proof of Stake di Ethereum significherebbe comprare e rischiare miliardi in ETH.

Questi tre strati insieme spiegano perché nessuno ha mai hackerato la blockchain di Bitcoin o Ethereum stessa. Ma l'infrastruttura che le persone costruiscono sopra? Quella è un'altra storia.

Diversi tipi di blockchain hanno compromessi di sicurezza diversi#

Le persone dicono "blockchain" come se fosse una sola cosa. Non lo è. Ogni tipo ha ipotesi di sicurezza molto diverse.

Le reti blockchain pubbliche hanno migliaia di validatori che si controllano a vicenda. Per attaccare Bitcoin dovresti spendere più di tutta l'industria mineraria insieme. Nessuno l'ha fatto. Il prezzo è la velocità: tutta questa convalida distribuita è lenta.

JPMorgan gestisce una blockchain privata perché ha bisogno di controllare chi partecipa. Ha senso per una banca. Ma una blockchain aziendale con 20 validatori è molto diversa da una con 20.000. Comprometti una manciata di nodi e controlli la rete. Questo è il compromesso della scelta privata invece di pubblica.

Le blockchain ibride cercano di combinare i vantaggi di entrambe. Spesso ottengono le superfici di attacco di entrambe.

I più grandi attacchi blockchain e cosa è effettivamente andato male#

Guarda i numeri e noterai qualcosa. Quasi nessuno di questi era un attacco al protocollo blockchain stesso. Erano fallimenti operativi. Qualcuno ha riutilizzato una password. Qualcuno ha lasciato una chiave privata su un server. Qualcuno ha distribuito uno smart contract senza controllarlo.

I compromessi del wallet e il furto di chiavi private hanno causato il 69% di tutto il valore rubato nella prima metà del 2025. Gli account dei dipendenti compromessi hanno causato il 55,6% di tutti gli incidenti nel 2024. Nessuno ha violato alcuna crittografia. Le persone hanno cliccato sul link sbagliato, hanno riutilizzato password o hanno lasciato le chiavi dove non avrebbero dovuto. Errori stupidi e prevenibili che costano centinaia di milioni ciascuno.

Vulnerabilità blockchain comuni che dovresti conoscere#

Dopo quindici anni, nessuno ha violato il ledger blockchain principale. Quello che continua a essere violato è tutto quello che ci sta attaccato.

Gli smart contract sono in cima alla lista. Sono codice che si esegue automaticamente sulla chain, e una volta distribuiti, non puoi correggerli come un'app normale. Un bug e chiunque al mondo può sfruttarlo. The DAO ha imparato questa lezione nel 2016 quando un bug di reentrancy è costato $60 milioni. Nove anni dopo, il problema persiste. Chainalysis ha trovato che l'8,5% di tutti i furti del 2024 provenivano da vulnerabilità degli smart contract. Halborn ha analizzato i 100 maggiori hack DeFi e ha trovato che la verifica dell'input difettosa ha causato il 34,6% di essi.

Halborn ha pubblicato una statistica che non riesco a togliermi dalla testa. Dei protocolli che sono stati hackerati in importanti incidenti DeFi, solo il 19% aveva wallet multi-signature. Il 2,4% utilizzava cold storage. Una banca di medie dimensioni verrebbe chiusa dai regolatori per operare così. In crypto, la maggior parte dei progetti è stata lanciata senza nessuno dei due e ha semplicemente speranza.

Le migliori pratiche di sicurezza blockchain che effettivamente prevengono gli attacchi#

Cosa distingue i progetti che sopravvivono da quelli che finiscono nella lista dei "più grandi attacchi"? Poche cose, niente di affascinante.

Gli audit dei contratti intelligenti vengono per primi. Paghi una società di sicurezza indipendente per analizzare il tuo codice prima di distribuirlo. Cercano i bug di reentrancy, gli errori di overflow, le lacune nel controllo degli accessi che diventano notizie da 200 milioni di dollari. Sì, costa denaro.

CertiK, Hacken, OpenZeppelin, Trail of Bits — alcune delle società che svolgono questo lavoro. Vale la pena notare: i contratti sottoposti ad audit sono comunque stati sfruttati. Ma i contratti senza audit si bloccano molto più spesso.

I portafogli multi-sig dovrebbero essere standard per qualsiasi cosa che detenga soldi seri. Due o tre chiavi richieste per firmare significa che una chiave compromessa non ti farà saltare in aria. Bybit aveva multi-sig e comunque è stata colpita perché gli attaccanti hanno preso di mira l'interfaccia di firma invece delle chiavi. Quindi multi-sig è uno strato, non l'intera difesa.

L'archiviazione offline è la migliore difesa per i fondi che non stai spostando in questo momento. Se un portafoglio non è mai stato connesso a internet, non può essere violato tramite internet. Ogni exchange che è passato intatto attraverso 2024 e 2025 ha mantenuto la maggior parte dei fondi dei clienti offline.

Il monitoraggio in tempo reale è dove le cose diventano interessanti. Venus Protocol aveva un sistema che ha segnalato chiamate di contratto sospette 18 ore prima che un attacco arrivasse. Hanno messo tutto in pausa e hanno salvato ogni dollaro. L'attaccante ha effettivamente perso denaro in commissioni di gas. Chainalysis Hexagate, Forta Network, OpenZeppelin Defender — questi strumenti controllano le attività blockchain 24 ore su 24 e catturano i pattern che gli umani perderebbero.

E poi c'è il resto: moduli di sicurezza hardware per le chiavi private, accesso basato su ruoli così una persona non possa autorizzare da sola un grande trasferimento, rotazione regolare delle credenziali, un piano di risposta agli incidenti scritto prima che succeda qualcosa.

DeFi sta diventando più sicuro, ma CeFi sta peggiorando#

Il confronto DeFi vs CeFi del 2024 è sorprendente.

CeFi ha avuto undici incidenti. Undici. E ha perso quasi quanto DeFi in 221.

DeFi sta effettivamente mettendo ordine. Le perdite di bridge sono diminuite. Più progetti eseguono audit prima del lancio. I programmi di bug bounty di Immunefi pagano gli hacker per trovare prima i problemi, e sta funzionando.

CeFi continua a peggiorare. Gli exchange detengono enormi quantità di crypto dei clienti dietro un piccolo numero di account dei dipendenti. Un'email di phishing che un sviluppatore cade, e stai leggendo di un'altra perdita a nove cifre. Bybit ha dovuto sostituire $1,5 miliardi in riserve dei clienti in tre giorni dopo la loro violazione di febbraio 2025. Ce l'hanno fatta, a malapena. Non tutti lo sarebbero riusciti.

Il mercato della sicurezza blockchain sta crescendo#

Fortune Business Insights valuta il mercato della sicurezza blockchain a circa 5 miliardi di dollari nel 2025. Coherent Market Insights prevede che raggiungerà 128 miliardi entro 2032, crescendo al 57% annuo.

Due fattori spingono tutto questo. Primo, c'è più denaro in catena ogni anno. Secondo, i regolatori non sono più opzionali. Il framework MiCA dell'UE impone standard di sicurezza specifici per qualsiasi azienda di criptovalute che opera in Europa. La CFTC statunitense ha lanciato un Digital Assets Pilot Program che accetta collateral tokenizzati solo da aziende con seri controlli di sicurezza. Se vuoi accesso al capitale istituzionale, devi avere sicurezza di livello istituzionale. Una volta era un argomento di marketing. Ora è un obbligo legale.

Anche la tecnologia migliora. Anthropic ha fatto un esercizio di red-team e ha trovato 4,6 milioni di dollari in bug di smart contract tramite analisi dell'IA, vulnerabilità che avrebbero richiesto settimane ai revisori umani. Le prove a conoscenza zero permettono alle transazioni blockchain di restare private senza sacrificare la verifica. Il calcolo multi-party sta diventando comune nella gestione delle chiavi blockchain aziendali come alternativa ai tradizionali setup multi-sig.

Cosa significa per te#

Se possiedi criptovalute, le basi funzionano: portafoglio hardware, frase seed scritta su carta e tenuta al sicuro, autenticazione a due fattori da un'app (non SMS) e diffidenza verso qualsiasi link che dice di provenire dal tuo exchange. La maggior parte dei singoli che perdono criptovalute le perdono per phishing o errori nella gestione delle chiavi, non per exploit dei protocolli.

Se stai costruendo in catena, il processo è più articolato ma non complicato: fai un audit prima del lancio, usa multi-sig per il tesoro, monitora i tuoi contratti in tempo reale e scrivi un piano di risposta agli incidenti adesso, non alle tre di sabato mattina quando tutto si rompe. Il registro distribuito sottostante è solido. Bitcoin l'ha provato in quindici anni. Ma gli smart contract, i ponti, i portafogli e la sicurezza operativa costruiti sopra sono buoni solo quanto le persone che li gestiscono. E 3,4 miliardi di dollari all'anno dicono che non lo stiamo facendo bene abbastanza.