I crypto hack del 2026 si spostano su keys e governance

Immunefi vede che gli attacchi passano sempre più spesso da signing keys, governance e infrastruttura. BonkDAO e Humanity Protocol mostrano quanto possono essere grandi i danni anche senza un bug nello smart contract.

In breve

• Nel 2026 gli attacchi crypto si stanno spostando soprattutto su keys, governance e sicurezza operativa, non solo sui bug degli smart contract.
• Immunefi segnala che quest'anno sono già stati rubati circa 972 milioni di dollari, con esempi come BonkDAO e Humanity Protocol.
• Le audit da sole non bastano, perché anche il key management, la custody e il signing possono causare perdite enormi.

Nel 2026 le perdite nel crypto non arrivano più soltanto da bug negli smart contract. Sempre più spesso, infatti, il problema è altrove: nelle keys, nella governance e nella sicurezza operativa sicurezza. Secondo Immunefi, da inizio anno sono già stati sottratti circa 972 milioni di dollari (854 milioni di euro), con attacchi che colpiscono soprattutto signing keys, votazioni e infrastruttura invece del codice in sé.

Le keys diventano il punto debole

Il caso di BonkDAO mostra bene quanto possa essere vulnerabile una treasury anche senza che uno smart contract vada in errore. Un attaccante ha speso circa 4 milioni di dollari (3,5 milioni di euro) per accumulare abbastanza token, sfruttando una partecipazione bassa, e far approvare una proposta di governance che poi è stata eseguita alla lettera. In pratica, il problema non era il contratto, ma le regole del gioco.

Anche Humanity Protocol segue una dinamica simile. A giugno sono andati persi più di 30 milioni di dollari (26,4 milioni di euro) dopo la compromissione di una private key sul computer di un membro del team, mentre il contratto è rimasto intatto. Il dato si inserisce in un quadro più ampio emerso nella prima metà del 2026: i compromessi dei wallet e gli errori operativi hanno causato danni economici maggiori rispetto ai classici attacchi agli smart contract. È anche coerente con il trend più generale per cui le private key spiegano una grossa fetta degli hack, più degli errori nel codice.

Le audit non bastano

Mitchell Amador, fondatore e CEO di Immunefi, ricorda che una audit fotografa solo il codice in un determinato momento. Non dice nulla, però, su chi può firmare, su come viene custodita una key o su cosa succede se un laptop finisce nel mirino. Per questo un protocollo può anche passare più audit e subire comunque perdite pesanti; secondo il testo, un progetto ha perso perfino 128 milioni di dollari (112 milioni di euro) nonostante 11 audit.

I numeri vanno nella stessa direzione. In un’analisi di 425 hack tra il 2021 e il 2025, una quota relativamente piccola di errori operativi ha generato la parte più consistente dei danni. Nel periodo tra il 2024 e il 2025, il 54,6% di tutto il valore perso, distribuito su 191 hack, era legato alla compromissione di centralized exchange, quindi a keys, custody e signing al di sopra del livello del contratto.

Perché interessa agli investitori

Per chi investe in crypto in Europa, il punto è chiaro: i rischi più seri sono sempre meno visibili nel codice. Diventano quindi centrali infrastruttura, key management e processi di governance, quasi quanto le audit o le code review formali. La sicurezza non è più solo una questione tecnica, ma riguarda anche gli strumenti di investimento, la custody e il modo in cui le aziende crypto organizzano i controlli interni.

Secondo Immunefi, i programmi di sicurezza continui e incentivati possono fare davvero la differenza, perché premiano i ricercatori che trovano le vulnerabilità prima degli attaccanti. Ma, seguendo la stessa logica, questo approccio deve andare oltre gli smart contract e includere anche le persone, i sistemi e le regole che tengono in piedi un protocollo.