Security

Dopo l’attacco a KelpDAO, il total value locked (TVL) di Aave risulta ancora in calo del 43% e del 67% rispetto al massimo delle ultime 52 settimane. Gli hacker hanno depositato su Aave rsETH sottratto e hanno preso in prestito ETH reale, lasciando Aave e Compound con una stima di circa 246 milioni di dollari di crediti inesigibili complessivi. Il TVL di Aave è sceso da 26,4 miliardi di dollari prima dell’attacco a 14,9 miliardi di dollari, riducendo la capacità di prestito e aumentando la volatilità. Il token AAVE è sceso di circa il 20% il giorno successivo e tratta intorno a 89 dollari, ancora sotto i livelli pre-attacco.

Il broker di criptovalute regolamentato Bits of Gold, il più grande in Israele, ha comunicato una violazione dei dati dopo un accesso non autorizzato a un sistema di analisi di supporto, con potenziale esposizione delle informazioni personali di fino a 250.000 utenti. I dati potrebbero includere nome, numero di identità nazionale, telefono, email, indirizzo IP, dettagli del conto bancario e indirizzi pubblici di wallet crypto; l’azienda afferma che password e immagini dei documenti d’identità non sono state esposte. Pur senza impatti dichiarati su fondi e asset digitali, l’episodio può aumentare il rischio di phishing, impersonificazione e attacchi di ingegneria sociale contro gli utenti.

Il 10 marzo 2026 Aave ha subito una configurazione errata del risk oracle CAPO che ha fissato il tasso di cambio on-chain di wstETH circa il 2,85% sotto il prezzo di mercato, innescando la liquidazione di circa 10.938 wstETH. Il volume delle liquidazioni è stato di circa 26–27 milioni di dollari e i liquidatori hanno catturato un valore pari a circa 499–512 ETH. Il 15 febbraio 2026 Moonwell, a seguito di una modifica di governance, ha configurato in modo errato un wrapper Chainlink OEV usando il rapporto cbETH/ETH come prezzo in USD, facendo risultare cbETH intorno a 1,12 dollari (contro circa 2.200 dollari) e portando alla liquidazione di 1.096,317 cbETH e a circa 1,78 milioni di dollari di bad debt per il protocollo.

Un bridge che collega l’XRP Ledger alla chain tx è stato colpito sfruttando una falla nella logica di rilevamento dei depositi. L’attaccante ha costruito transazioni senza alcun deposito reale, riuscendo però a coniare XRP “bridged” su tx e a riconvertirli in XRP reali. In totale sono stati trasferiti circa 200.000 XRP tramite 94 pagamenti, ciascuno firmato correttamente da 17 dei 28 relayer. Ripple non è stata compromessa, mentre txEcosystem afferma che gli XRP bridged sulla sua chain non sono più completamente coperti.

Harmony Protocol ha dichiarato che il 12 agosto si è verificato un episodio di minting non autorizzato di ONE. Le prime verifiche indicavano un’emissione iniziale di 4000000000 ONE, ma una successiva ricostruzione on-chain ha stimato che circa 3010000000000 ONE siano stati emessi verso quattro wallet degli attaccanti tramite sei transazioni cross-shard falsificate, secondo Odaily. Il team afferma di aver corretto le vulnerabilità e di aver distribuito Mainnet v2026.1.1, mentre valuta un rollback della rete al blocco 92,730,034 precedente all’attacco.

Harmony ha pubblicato un rapporto su una vulnerabilità di minting, indicando come causa principale un bug di replay delle ricevute CrossShard che poteva far elaborare più volte ricevute valide e creare nuovi token senza deduzioni corrispondenti. La prima ondata di emissioni non autorizzate è stata inizialmente confermata in 400 million ONE, mentre l’ammontare complessivo delle emissioni crossshard falsificate è stimato in circa 3.01 trillion ONE, con il team ancora impegnato a verificare i dati. Un patch di emergenza è stato attivato il 12 agosto e la vulnerabilità risulta corretta; i servizi crosschain sono stati sospesi. Il team sta coordinando con validatori ed exchange un rollback allo stato precedente, con obiettivo il blocco 92,730,034, e Shard 0 è stato messo in pausa per supportare l’operazione.

La Foundation ha comunicato un aggiornamento sul bridge e ha dichiarato che tutti gli utenti coinvolti saranno rimborsati integralmente, reintegrando le riserve mancanti di XRP per ripristinare una copertura 1:1 degli XRP bridgiati. Una volta completato il ripristino, le riserve saranno verificabili on-chain, mentre la vulnerabilità è stata identificata e corretta. Il bridge resta in pausa in attesa del completamento di una revisione di sicurezza indipendente, dopo la quale verrà riattivato. La Foundation ha inoltre annunciato un rapporto tecnico completo con i dettagli del meccanismo di ripristino e ha invitato gli utenti a diffidare di chi sostiene di poter recuperare gli asset bridgiati, seguendo solo i canali ufficiali.

DATA Foundation ha prorogato il lock-up dei token detenuti dal team e dai principali investitori, facendo sì che lo sblocco previsto per il 13 agosto non partisse e senza comunicare una nuova data. L’annuncio del 25 giugno parla di un’estensione di 18 mesi, ma non specifica da quando decorra né quali wallet e quantità siano coinvolti. Nella tokenomics originaria, Early Backers e Core Contributors sommano il 41,6% dell’offerta iniziale e sono strutturati per sbloccarsi su 48 mesi.

La blockchain Harmony è stata colpita da un attacco in cui gli aggressori hanno sfruttato una falla di rete per coniare illegalmente 4 miliardi di token ONE, pari a circa il 26% dell’offerta circolante. Circa 2,8 miliardi di token sono stati trasferiti rapidamente verso exchange centralizzati, alimentando il panico sul mercato. Il prezzo di ONE è arrivato a cedere fino al 38%. L’analisi on-chain ha collegato l’episodio a 10.288 transazioni e 409 wallet, mentre entro quattro ore il 53% dei validatori ha completato l’aggiornamento di sicurezza.

Una vulnerabilità nei wallet hardware Bitcoin Coldcard ha riacceso le preoccupazioni sulla sicurezza delle private key, evidenziando come la loro gestione possa creare un singolo punto di fallimento anche per asset conservati offline. Galaxy Research ha confermato almeno 1.11亿美元 sottratti e stima che le perdite complessive possano superare 1.3亿美元. Secondo dati di Blockaid, nel primo semestre del 2026 quasi il 75% delle perdite di cripto-asset è stato collegato a fughe di private key. Nello stesso periodo, le perdite totali da attacchi hacker hanno superato 10亿美元 e il numero di incidenti di sicurezza ha toccato un massimo storico.