Il furto di criptovalute, nel corso degli ultimi anni, ha visto un’evoluzione imprevista delle tecniche adottate dai cybercriminali.
Mentre in principio le operazioni iniziavano dal furto di credenziali dei wallet, oggi gli hacker si concentrano maggiormente sulle vulnerabilità dei software delle piattaforme.
A rivelare questa inaspettata realtà è una ricerca congiunta del sito visualcapitalist.com con Inigo, basata su dati di DeFiLlama riguardanti il periodo che va dal primo maggio 2025 al 30 aprile 2026.
Durante questo periodo di dodici mesi, la manipolazione dei dati cross-chain è emersa come il metodo più costoso per i servizi, rappresentando il 19% delle perdite complessive di criptovalute.
Questa modalità di attacco infrastrutturale colpisce i sistemi che spostano asset tra blockchain diverse, sfruttando le debolezze nella comunicazione tra catene per manipolare transazioni o rubare fondi durante i trasferimenti.
Lo spoof token exploit costituisce il 14%, con gli attaccanti che usano codice per creare token falsi o fuorvianti che riescono ad ingannare utenti e/o piattaforme, facendole trattare come reali.
La compromissione di una chiave privata (11% delle perdite totali) vede i cybercriminali sfruttare tecniche relative a phishing o ingegneria sociale per poter accedere ai wallet.
Dalla manipolazione dei dati cross-chain fino alla compromissione di API di terze parti
Tra le altre strategie figura la compromissione delle credenziali di un amministratore. Una pratica che, combinata con la manipolazione dei token, rappresenta l’8% delle perdite registrate.
Stessa percentuale per il liquidity pool exploit, attività che comprende azioni contro pool di asset che alimentano le piattaforme di trading decentralizzate, sfruttando difetti nelle logiche di prezzo, trading o prelievo delle criptovalute.
Meno diffuso, ma non per questo meno temibile, è l’hot wallet hack (6%). La pratica prevede lo sfruttamento di wallet connessi alla rete che, per varie ragioni, offrono una superficie di attacco ai cybercriminali.
Non mancano poi attività più di nicchia, come il re-entrancy exploit (3%), la compromissione di API di terze parti (3%), exploit della bonding curve (2%). Il tutto considerando che una quantità notevole dei furti di criptovalute, ovvero il 14%, avviene attraverso tecniche ancora più di nicchia.
A rendere ancora più impattanti questi numeri vi è un trend di crescita delle intrusioni. In tal senso, basti pensare che ad aprile 2026, i protocolli crypto hanno perso oltre 625 milioni di dollari durante una trentina di attacchi distinti, stabilendo l’infausto record del mese più hackerato nella storia delle criptovalute. Le offensive subite da KelpDAO e Drift Protocol hanno da sole rappresentano il 95% delle perdite di aprile.
Da dove provengono tutti questi attacchi?
Un’ondata di azioni ostili devastanti, ma che sembra provenire da una direzione precisa.
Tra i collettivi più attivi in questo contesto, figurano gruppi noti agli esperti di cybersecurity come UNC4736 (noto anche come Lazarus) in molti casi collegati alla Corea del Nord. Le strategie di questi esperti risultano alquanto raffinate. TRM Labs ha registrato oltre 2 miliardi di dollari rubati in 75 incidenti cripto durante la prima metà del 2025, con attori legati proprio al paese asiatico in più di metà dei casi.
Man mano che le piattaforme crypto diventano più complesse, le minacce alla sicurezza si spostano dalle credenziali rubate verso le vulnerabilità incorporate nei sistemi stessi. Un cambiamento di strategia che, almeno al momento, sta creando non pochi problemi alle piattaforme.
In realtà, le tecnologie difensive adeguate esistono: MPC, Timelocks e HSMs sono potenziali assi nella manica per i servizi del settore. Per rendere efficaci queste mosse, serve però una presa di posizione degli exchange. Fino a quando non tratteranno la governance dei wallet con lo stesso rigore delle infrastrutture di trading, la mole di episodi non farà altro che crescere.
