Attacco alla hot wallet di Triple-A: 11,8 milioni di dollari drenati in 31 ore su 7 blockchain

L'attacco e la crescita esponenziale delle perdite

L'investigatore on-chain Specter ha segnalato per primo la compromissione delle hot wallet di Triple-A venerdì 24 luglio 2026 alle 23:18 ora italiana (17:18 ET), con una stima iniziale di 9,3 milioni di dollari rubati da diverse blockchain . Nelle successive 31 ore, la cifra è salita a circa 11,8 milioni di dollari, perché i nuovi depositi continuavano ad arrivare sui wallet compromessi e venivano immediatamente prosciugati dall'attaccante . Questo schema a "sanguinamento" — in cui la chiave privata di una hot wallet viene violata ma il wallet rimane attivo, svuotando automaticamente tutti i nuovi fondi in entrata — distingue questo incidente da un exploit una tantum.

Le reti colpite

L'attaccante ha prosciugato gli asset attraverso sette reti blockchain: Ethereum, TRON, Polygon, Arbitrum, Solana, The Open Network (TON) e Bitcoin . La natura multi-catena dell'attacco ha richiesto all'hacker di scambiare e collegare gli asset in modo efficiente, segno di un'operazione sofisticata.

Consolidamento degli asset e movimenti on-chain

Una caratteristica distintiva dell'exploit è stato il metodo di consolidamento dei fondi adottato dall'attaccante. L'hacker ha scambiato le stablecoin rubate su exchange decentralizzati e ha trasferito il tutto su un unico indirizzo Ethereum, che alla fine conteneva circa 5.227 ETH, per un valore di circa 9,73 milioni di dollari al momento . Questo schema di consolidamento è tipico degli exploit alle hot wallet, in cui l'attaccante converte gli asset in ETH per facilitarne lo spostamento o il riciclaggio .

La risposta di Triple-A e la segregazione degli asset

Triple-A ha confermato la violazione del wallet aziendale e ha dichiarato che i fondi dei clienti non sono stati coinvolti: i wallet compromessi erano portafogli aziendali, non conti custodiali dei clienti . L'azienda ha affermato che avrebbe assorbito direttamente l'impatto finanziario e che era in corso un'indagine attiva sull'incidente . Questo evidenzia una caratteristica fondamentale dell'architettura di sicurezza di Triple-A: il modello di segregazione degli asset dei clienti teneva i fondi degli utenti in conti protetti e separati, distinti dai wallet aziendali operativi che sono stati violati .

Lo status normativo di Triple-A

Triple-A è un gateway di pagamento fiat-crypto con sede a Singapore, fondato nel 2020. Detiene uno dei più ampi portafogli di licenze nel settore dei pagamenti crypto:

• Una licenza di Major Payment Institution (MPI) della Monetary Authority of Singapore (MAS)
• Una licenza MiCA Crypto-Asset Service Provider (CASP) dell'AMF francese, che autorizza i servizi in tutti i 30 stati dell'UE/SEE
• Approvazione in linea di principio dalla Virtual Assets Regulatory Authority (VARA) di Dubai per i servizi di broker-dealer

L'azienda aveva inoltre stretto una partnership con Mastercard per rafforzare l'infrastruttura di pagamento transfrontaliero .

Il panorama degli hack crypto nel 2026

L'hackeraggio di Triple-A non è un caso isolato. Numerose società di sicurezza hanno segnalato un'attività di hacking da record nel primo semestre del 2026:

PeckShield ha specificamente evidenziato che i vettori di attacco più comuni nel primo semestre 2026 sono state le vulnerabilità dei bridge, i bug negli smart contract e le chiavi private compromesse . TRM Labs ha notato che le compromissioni operative — inclusa la gestione delle chiavi e l'infrastruttura di firma — ora rappresentano una quota maggiore delle perdite rispetto ai puri exploit degli smart contract . I gruppi legati alla Corea del Nord sono stati ritenuti responsabili di circa 643 milioni di dollari (~66%) delle perdite totali del primo semestre .

Immunefi ha riferito che, sebbene le perdite totali siano scese sotto il miliardo di dollari nella prima metà del 2026 — meno della metà dei 2,3 miliardi di dollari rubati nell'H1 2025 — il numero di incidenti, 207, è stato il più alto mai registrato . The Block ha sottolineato che i danni più gravi provengono sempre più da guasti infrastrutturali, compromissioni di chiavi private, errori di configurazione cross-chain e debolezze nell'accesso privilegiato .

Punti importanti da notare

• Le stime sulla perdita finale differiscono: il tracciamento on-chain di Specter si è attestato a 11,8 milioni $, mentre alcune testate hanno riportato 12 milioni $ .
• La rete Bitcoin è stata elencata tra le blockchain colpite in alcuni rapporti ma non in tutti, suggerendo che il coinvolgimento di Bitcoin potrebbe essere stato indiretto o rappresentare una piccola parte del totale .
• Le rassicurazioni di Triple-A sui fondi dei clienti riguardano specificamente i conti custodiali dei clienti, che erano separati dai wallet aziendali compromessi .

Cosa significa

L'hackeraggio della hot wallet di Triple-A è un esempio da manuale del panorama delle minacce in evoluzione nel mondo crypto. L'attaccante non ha sfruttato un bug di uno smart contract: ha compromesso la chiave privata di una hot wallet, un tipo di fallimento operativo che rappresenta ormai la maggior parte del valore rubato nel 2026. Per un gateway di pagamento regolamentato con licenze multiple, l'incidente dimostra sia l'importanza della segregazione degli asset (che ha protetto i fondi dei clienti) sia la persistente vulnerabilità dell'infrastruttura delle hot wallet. Mentre il settore si avvia verso la seconda metà del 2026, la lezione è chiara: mettere in sicurezza le chiavi private e l'infrastruttura operativa è ora più critico che eseguire audit sul codice degli smart contract.