Hacks crypto: 2,81 miliardi di dollari rubati nel 2026, ottobre già a 116 milioni

<<Una piccola falla può affondare una grande nave>>, avvertiva Benjamin Franklin. Il settore crypto lo verifica ancora questo autunno: dei Ledger manomessi da un solo rivenditore sono bastati a far sparire quasi 90 milioni di dollari.

Ottobre, già 116 milioni. I pirati hanno sottratto 2,81 miliardi di dollari al settore crypto da gennaio, secondo il cruscotto di CertiK aggiornato al 12 ottobre.

Il mese in corso pesa già 116,1 milioni di dollari, dopo 1,26 miliardi di dollari rubati nel terzo trimestre. E senza l'unico attacco di Bybit, l'intero anno 2025 è già superato.
I punti chiave di questo articolo:

• I pirati hanno sottratto 2,81 miliardi di dollari al settore crypto tra gennaio e il 12 ottobre 2026, di cui 116,1 milioni in ottobre, secondo CertiK.
• Settembre è il mese peggiore dell'anno, con 773,4 milioni di dollari rubati in 105 incidenti.
• Escludendo l'attacco di Bybit, il 2026 supera già il totale del 2025.
• Ledger ha confermato un impianto hardware in un dispositivo venduto dal rivenditore CryptoBilis.

Settembre 2026: il mese peggiore dell'anno per gli hack

Settembre ha costato 773,4 milioni di dollari su 105 incidenti, secondo il conteggio aggiornato di CertiK. PeckShield arriva a 766,5 milioni su 55 incidenti maggiori. È il mese peggiore del 2026, davanti ad aprile. L'attacco a Bitget pesa 388 milioni di dollari e quello a Liquid Network 320 milioni. Oltre 270 milioni sono stati restituiti dai pirati di Liquid Network, il che spiega la maggior parte dei 284,8 milioni congelati o restituiti nel mese. Settembre 2026: 773,4 milioni di dollari rubati su 105 incidenti, di cui 284,8 milioni congelati o restituiti. Fonte: CertiK, dati al 12 ottobre 2026.

Safe Wallet (7,8 milioni), DCENT (6 milioni) e Duelbits (5,9 milioni) completano la lista. Dal punto di vista del metodo, il riscontro è inequivocabile. Le vulnerabilità di codice e infrastruttura spiegano il 95% delle perdite del mese (733,8 milioni di dollari), contro solo 6,2 milioni per il phishing, secondo il rapporto mensile di CertiK. Perdite mensili dovute agli hack crypto dal 2023: il picco di febbraio 2025 corrisponde all'attacco di Bybit, quello di settembre 2026 al massimo dell'anno. Fonte: CertiK, dati al 12 ottobre 2026.

Cinque hack concentrano il 59% delle perdite del 2026

I cinque maggiori incidenti dell'anno pesano circa 1,57 miliardi di dollari, ovvero quasi il 59% delle perdite a fine settembre, secondo i dati di CertiK compilati da CryptoSlate. Il quinto, una vittima non identificata, ha perso 284,8 milioni di dollari.

Importi CertiK, 2026

Non è tutto perduto. 452,4 milioni di dollari sono stati congelati o restituiti da gennaio, riducendo la perdita netta a 2,35 miliardi di dollari. Rimane la pista nordcoreana. Elliptic attribuisce a Pyongyang più di un miliardo di dollari di furti nel 2026, su oltre 51 incidenti, e giudica << altamente probabile >> il coinvolgimento della Corea del Nord nel furto di Bitget. Anche LayerZero ha designato il gruppo Lazarus per KelpDAO. Da gennaio 2026: 2,81 miliardi di dollari rubati su 693 incidenti, ovvero 2,35 miliardi di perdite nette dopo 452,4 milioni congelati o restituiti. Fonte: CertiK, dati al 12 ottobre 2026.

Furti di criptovalute: il 2026 supera già il 2025 senza Bybit

CertiK aveva registrato 3,35 miliardi di dollari di perdite per l'intero 2025. La cifra sembra ancora lontana. Ma si basava su un solo colpo: il furto di Bybit a febbraio 2025, circa 1,45 miliardi di dollari attribuiti a Lazarus. Rimuovilo e il 2025 torna intorno a 1,9 miliardi. A metà ottobre, il 2026 ha già fatto molto peggio senza alcun furto di questa portata.

La minaccia ha anche cambiato volto. Nel primo semestre, CertiK collocava in testa le compromissioni di portafogli (444,5 milioni di dollari su 33 incidenti), seguite dal phishing (366,3 milioni su 63 incidenti). Le vulnerabilità di codice rimangono le più numerose con 204 incidenti. Tuttavia, pesano solo 151,6 milioni di dollari. I pirati colpiscono meno frequentemente, ma con molta più forza, mirando all'infrastruttura delle piattaforme.

E la violenza fisica segue la stessa tendenza. CertiK ha registrato 52 << attacchi con chiave inglese >> (aggressioni per costringere una vittima a consegnare le proprie chiavi) nel primo semestre, contro 39 un anno prima. Gli importi in gioco passano da 10,5 a 124,2 milioni di dollari, una tendenza che la Francia conosce bene con i suoi rapimenti di criptovalute ripetuti.

Ottobre: un hardware compromesso e un exploit DeFi

Ottobre mostra già 116,1 milioni di dollari di perdite su 26 incidenti al 12 del mese, secondo CertiK. La maggior parte proviene da dispositivi Ledger manomessi. Il resto deriva in gran parte dall'exploit del protocollo 79thVault su BNB Chain, stimato in 12,5 milioni di dollari nelle prime stime. Ottobre 2026: già 116,1 milioni di dollari rubati su 26 incidenti in dodici giorni. Fonte: CertiK, dati al 12 ottobre 2026.

Ledger ha confermato il 10 ottobre la presenza di un impianto hardware non autorizzato nel dispositivo di un cliente. Tutti i casi confermati riguardano dispositivi venduti da un unico rivenditore. Il produttore assicura che i propri sistemi e i canali di vendita diretti non sono stati toccati.

Questo rivenditore, CryptoBilis, operava in Indonesia, Malesia e Filippine. Le stime on-chain vanno da 86 a 93 milioni di dollari rubati su oltre 300 portafogli Bitcoin, Ethereum e Tron. Tether ha congelato quasi 10 milioni di dollari in USDT. Il rivenditore era cambiato di proprietà prima dei furti, senza che alcun legame con l'attacco fosse stabilito a questo punto.

Per i detentori, le istruzioni di Ledger sono chiare. Non inizializzare un dispositivo acquistato da questo rivenditore negli ultimi 90 giorni. Se è già configurato, trasferire i fondi su una nuova frase di recupero, su un dispositivo acquistato direttamente dal produttore. E tenere a mente che nessun dipendente di Ledger chiederà mai le vostre 24 parole.

L'assicurazione non tiene il passo. Da gennaio 2025 a luglio 2026, i protocolli di assicurazione on-chain hanno versato solo circa 33 milioni di dollari, a fronte di 3,63 miliardi di perdite registrate da CoinGecko. Cinque dei nove protocolli monitorati sono diventati inattivi o hanno cambiato attività, come dettagliato nel nostro rapporto del terzo trimestre.