Il crack di Step Finance: notebook compromessi, un crollo DeFi da 40 milioni di dollari e il riciclaggio cross-chain

Il 31 gennaio 2026, Step Finance — un tracker di portafoglio DeFi su Solana un tempo considerato la "prima pagina di Solana" — ha subito una violazione catastrofica. L'attacco non ha sfruttato un bug di uno smart contract, un flash loan o la manipolazione di un oracolo. Invece, gli aggressori hanno compromesso i dispositivi personali del team dirigenziale, rubato le chiavi private e prosciugato il tesoro. Il risultato: una perdita di 40 milioni di dollari, un crollo del token di oltre il 96% e la chiusura definitiva di tre progetti. Cinque mesi dopo, l'hacker è riemerso per riciclare i fondi attraverso Tornado Cash. Questa è la cronaca completa e documentata di ciò che è accaduto e perché è importante per l'intero mondo DeFi.

Come si è svolta la violazione del gennaio 2026

Il vettore d'attacco: dispositivi compromessi, non codice difettoso

Gli aggressori hanno ottenuto l'accesso alle credenziali di autenticazione e alle chiavi private prendendo di mira i dispositivi personali del team esecutivo di Step Finance . La società di sicurezza Halborn ha descritto la causa principale come "dispositivi compromessi, che probabilmente hanno portato all'esposizione delle chiavi private" . Non è stato un exploit innovativo: è stato un classico fallimento della sicurezza operativa.

Cosa è stato rubato

Circa 261.854 SOL sono stati tolti dallo staking e spostati fuori dal tesoro . Al momento del furto, la sola parte in SOL era valutata tra i 27 e i 30 milioni di dollari . Quando sono state incluse le altre attività nei portafogli compromessi, le perdite totali sono state stimate in circa 40 milioni di dollari .

Il crollo del token STEP

Il token nativo STEP è crollato immediatamente. I rapporti del giorno dell'hack registrano un calo del 93,3% a $0,001578 . Rapporti successivi hanno indicato un declino del 96% o più . Entro fine febbraio, il token veniva scambiato vicino a $0,000608 — un crollo del 99,12% rispetto ai livelli pre-hack .

Tentativi di recupero e chiusura

Gli sforzi di recupero hanno permesso di recuperare circa 4,7 milioni di dollari dei fondi rubati — una piccola frazione del totale — grazie alle capacità di blocco di Solana Token22 e al coordinamento con i partner . Il team ha trascorso circa quattro settimane cercando senza successo finanziamenti ponte, offerte di acquisizione o capitali esterni per continuare le operazioni .

Il 23-24 febbraio 2026, Step Finance — insieme ai progetti affiliati SolanaFloor (analytics) e Remora Markets (derivati) — ha annunciato la cessazione immediata di tutte le operazioni . Il team ha dichiarato di aver "esplorato ogni possibile strada da percorrere, comprese opportunità di finanziamento e acquisizione" ma di non essere riuscito a trovare una soluzione praticabile . Un piano di riacquisto per i possessori di token STEP basato su un'istantanea precedente all'incidente è stato annunciato separatamente .

Il ritorno dell'hacker: riciclaggio nel luglio 2026

Dopo cinque mesi di inattività, il portafoglio dell'hacker di Step Finance è diventato improvvisamente attivo all'inizio di luglio 2026. Secondo il monitoraggio on-chain di Lookonchain, si è verificata la seguente sequenza :

• L'hacker ha venduto tutti i 261.933 SOL (un conteggio leggermente superiore ai 261.854 iniziali, probabilmente per ricompense di staking o saldi residui minori), generando circa 21,4 milioni di dollari .
• I fondi sono stati poi trasferiti dalla blockchain Solana a quella Ethereum .
• Una volta su Ethereum, l'hacker ha acquistato 12.128 ETH e depositato l'intero importo in Tornado Cash, un mixer per la privacy, per riciclare i proventi rubati .

Questo schema — vendere su Solana, trasferire su Ethereum e depositare in un mixer — illustra una difficoltà fondamentale per le forze dell'ordine nel 2026: il riciclaggio cross-chain. Una volta che i fondi si spostano tra le catene ed entrano in un mixer, l'attribuzione e il congelamento diventano molto più difficili .

Contesto più ampio della sicurezza DeFi nel 2026

L'hack di Step Finance è emblematico di diverse tendenze preoccupanti che hanno definito la sicurezza DeFi nel 2026:

Frequenza record di attacchi

Nella prima metà del 2026, gli aggressori hanno effettuato 207 attacchi distinti — il numero più alto che TRM Labs abbia mai registrato in un periodo di sei mesi — con perdite totali che hanno raggiunto i 972 milioni di dollari . Altri rapporti collocano le perdite da gennaio a maggio a oltre 840 milioni di dollari, con un aumento del 70% su base annua rispetto allo stesso periodo del 2025 .

Furto di credenziali, non exploit di codice

Una percentuale sorprendente, il 72% delle perdite nel 2026, è derivata dal furto di chiavi private e credenziali, non da bug negli smart contract . L'attacco a Step Finance (portatili compromessi, non codice difettoso) è l'esempio da manuale. Questo rende la sicurezza più difficile perché sposta la superficie d'attacco dal codice controllabile alla sicurezza degli endpoint .

Crollo del TVL DeFi

Il valore totale bloccato (TVL) nei protocolli DeFi è crollato del 39% nel 2026, passando da circa 115 miliardi di dollari a gennaio a circa 70 miliardi a giugno, cancellando circa 45 miliardi di dollari di capitale bloccato . Il calo è stato attribuito a una flessione generale del mercato aggravata dall'ondata record di exploit .

Il nuovo paradigma: "Chiavi, non codice"

Il caso Step Finance e i dati più ampi del 2026 chiariscono che la peggiore vulnerabilità della DeFi non risiede più negli smart contract, ma nella sicurezza operativa dei team che detengono le chiavi. Per ogni costruttore di protocolli e utente DeFi, la lezione è netta: la sicurezza degli endpoint e la gestione delle chiavi private sono ora la prima linea di difesa .