Hacks crypto: 1,26 miliardi di dollari rubati nel terzo trimestre, mentre il bitcoin guadagnava il 40%

Rally rialzista, bottino record. I pirati hanno rubato 1,26 miliardi di dollari in criptovalute nel terzo trimestre del 2026. Nel frattempo, il bitcoin guadagnava circa il 40% nello stesso periodo. La fattura totale ammonta a 2,68 miliardi da gennaio.

Settembre è il mese peggiore dell'anno con 768,5 milioni di dollari rubati. L'hacking di Bitget pesa da solo quasi un terzo del trimestre. Nel frattempo, la capacità assicurativa del settore è diminuita del 20% in un anno. I punti chiave di questo articolo:

• Il terzo trimestre del 2026 costa 1,26 miliardi di dollari alle piattaforme crypto, il trimestre peggiore dell'anno.
• Bitget (387,5 milioni) e Liquid Network (319 milioni) totalizzano più della metà del bottino.
• Gli assicuratori hanno risarcito solo lo 0,9% delle perdite subite dall'inizio del 2025.

Pirataggi crypto: 1,26 miliardi svaniti nel terzo trimestre

CertiK ha registrato 247 incidenti nel trimestre, rispetto ai 219 del secondo. Secondo Cointelegraph, le perdite sono aumentate del 53,9% rispetto ai 819,4 milioni della primavera. Settembre concentra da solo 768,5 milioni di dollari di perdite in 99 incidenti.

Le vulnerabilità di codice e infrastruttura rappresentano la maggior parte dei danni. Esse costituiscono infatti il 95% della fattura di settembre (733,8 milioni di dollari in 58 incidenti). Il phishing, invece, si ferma a 6,2 milioni.

CertiK precisa che 273,2 milioni di dollari sono stati congelati o recuperati. Le perdite nette di settembre scendono quindi a 495,3 milioni. Le perdite aggiustate del trimestre raggiungono 869,6 milioni, ovvero il 10% in più rispetto al secondo trimestre. DefiLlama conta circa 1,25 miliardi di dollari persi in 116 incidenti. Tuttavia, la sua metodologia è più restrittiva. Importi rubati ogni mese da luglio 2025, settembre 2026 in testa con oltre 700 milioni di dollari. Fonte: DefiLlama

Bitget e Liquid Network, oltre 700 milioni tra di loro

Bitget ha visto uscire 387,5 milioni di dollari dai suoi hot wallet il 24 settembre. L'attaccante ha inizialmente sfruttato una vulnerabilità in un prodotto di sicurezza di un fornitore terzo. Ha quindi ottenuto identificativi interni di alto livello, per poi emettere falsi ordini di prelievo. Né le chiavi private né il cold storage sono stati toccati, secondo l'amministratore delegato Gracy Chen.

Liquid Network aveva aperto le danze il 6 settembre. Il bug proveniva dalla cache di verifica dei rangeproofs (le prove crittografiche che convalidano gli importi riservati). Ha permesso di creare L-BTC senza contropartita per circa 319 milioni di dollari. Tuttavia, il pirata ha restituito 3.400 BTC già il giorno successivo. Circa 600 BTC mancano ancora all'appello.

CertiK stima a 120 milioni di dollari l'attacco del 30 agosto contro Tectonic, un protocollo di prestito su Cronos. Il pirata aveva gonfiato quasi 100 volte il prezzo del token TONIC in venti minuti. La maggior parte delle altre stime si aggira comunque intorno ai 75 milioni. I validatori di Cronos hanno poi riavvolto la catena fino al blocco precedente all'attacco. Circa 6 milioni erano già sfuggiti verso Ethereum.

La vulnerabilità Coldcard risale a un aggiornamento del firmware del 2021. Questo aveva indebolito la generazione dei seeds. I pirati ne hanno approfittato tra il 30 luglio e il 6 agosto. Hanno siphonato 1.778 BTC da oltre 5.200 indirizzi, pari a 112,7 milioni di dollari secondo CertiK. Galaxy Research stima inoltre che il bottino potrebbe salire a 2.417 BTC con una quarta ondata.

Il bitcoin decolla, l'assicurazione diminuisce

Il bitcoin ha guadagnato circa il 40% nel trimestre, la sua migliore performance dal 2024. Al contrario, la capacità assicurativa del settore è scesa a 130,2 milioni di dollari alla fine di agosto. Un anno prima era ancora a 163,2 milioni. Il dato proviene dal rapporto 2026 di CoinGecko sulla sicurezza crypto.

Questo importo copre meno del 5% dei 2,68 miliardi rubati da gennaio. Anche i risarcimenti seguono la stessa tendenza. Gli assicuratori hanno versato solo circa 33 milioni di dollari tra gennaio 2025 e luglio 2026. Ciò rappresenta appena lo 0,9% dei 3,63 miliardi persi. L'offerta si sta contrattando anche. Cinque dei nove protocolli di assicurazione on-chain seguiti da CoinGecko hanno chiuso o abbandonato la copertura crypto.

L'IA accelera la caccia alle vulnerabilità

Nicolai Sondergaard, analista di Nansen, ha fornito il suo giudizio a CoinDesk. Secondo lui, << gli exploit ripetuti rafforzano l'idea che l'infrastruttura crypto rimanga operativamente fragile >>. Oliver Carding, del Tesseract Group, sottolinea inoltre un altro acceleratore. Gli strumenti di IA automatizzano ora la ricerca di vulnerabilità nei contratti intelligenti. Questo lavoro richiedeva un tempo considerevole a un ingegnere esperto.

La lista si allunga già a ottobre. NEAR Intents ha perso 3,8 milioni di dollari di fondi degli utenti il 1° ottobre. La causa è un bug tra l'infrastruttura di deposito e prelievo Omni e il suo contratto intelligente. Il protocollo aveva comunque bloccato 50 milioni di dollari legati all'hacking di Bitget pochi giorni prima. Promette infine un rimborso completo.

Gracy Chen rifiuta per ora di quantificare i fondi congelati con l'aiuto del settore. Aspetta prima di verificarli. Mandiant e SlowMist, incaricati da Bitget, stanno ancora valutando i primi indizi che puntano verso gli hacker nordcoreani.