Ondata di attacchi ai bridge DeFi nel 2026: 328 milioni di dollari rubati e i punti deboli che li rendono possibili

L'attacco da 292 milioni di dollari a KelpDAO-LayerZero

La più grande violazione DeFi del 2026 è avvenuta il 18 aprile, quando gli attaccanti hanno prosciugato circa 116.500 rsETH—per un valore di circa 292 milioni di dollari—dal bridge cross-chain di KelpDAO basato sull'infrastruttura LayerZero.

Le indagini hanno rivelato che l'attacco non ha preso di mira principalmente un bug negli smart contract, ma ha sfruttato le debolezze dell'architettura di verifica e dell'infrastruttura di supporto del bridge.

I fattori chiave includono:

• Configurazione a singolo validatore: KelpDAO utilizzava una configurazione Decentralized Verifier Network (DVN) 1-di-1, il che significa che un singolo validatore poteva approvare i messaggi cross-chain.
• Infrastruttura compromessa: Gli attaccanti hanno infiltrato i nodi RPC utilizzati dal sistema di verifica e hanno manipolato i dati usati per confermare la validità delle transazioni.
• Messaggio cross-chain falsificato: L'infrastruttura manipolata ha permesso all'attaccante di fabbricare un messaggio che indicava la distruzione (burn) dei token su un'altra chain, innescando il rilascio dei fondi dal contratto su Ethereum.

LayerZero e altri investigatori hanno dichiarato che i primi indicatori puntano al gruppo Lazarus della Corea del Nord—in particolare al cluster TraderTraitor—come probabile autore, anche se l'attribuzione rimane preliminare e non legalmente confermata.

L'attacco a THORChain

Un altro attacco degno di nota è avvenuto il 15 maggio 2026, quando il protocollo di liquidità cross-chain THORChain ha perso circa 10,8 milioni di dollari su diverse reti, tra cui Bitcoin, Ethereum e BNB Chain.

Gli investigatori ritengono che l'exploit abbia preso di mira il sistema di firma a soglia GG20 del protocollo, che consente ai nodi di firmare congiuntamente le transazioni senza rivelare la chiave privata completa.

Secondo l'analisi dell'incidente, un nodo malevolo che partecipava ai round di firma potrebbe aver raccolto gradualmente frammenti di materiale crittografico durante le operazioni legittime e aver ricostruito la chiave privata che controlla un vault Asgard. Una volta recuperata la chiave, l'attaccante poteva firmare prelievi non autorizzati.

L'attacco ha evidenziato un rischio persistente nei sistemi cross-chain che si affidano alla firma distribuita: se un numero sufficiente di frammenti di chiave viene esposto o trapela, il vault che controlla gli asset del bridge può essere compromesso.

Il buco al bridge Verus-Ethereum

Il 18 maggio 2026, un altro exploit ha prosciugato circa 11,58 milioni di dollari dal bridge cross-chain Verus-Ethereum.

L'attaccante ha prelevato asset tra cui 103,6 tBTC, 1.625 ETH e circa 147.000 USDC, convertendoli poi in ETH.

I ricercatori di sicurezza hanno scoperto che la causa principale era una lacuna nella validazione della logica del bridge:

• Entrambi i lati del bridge eseguivano controlli sulle transazioni cross-chain.
• Tuttavia, nessuno dei due richiedeva all'altro di confermare un valore cruciale: l'importo del trasferimento sulla chain di origine.

Poiché quel campo non era strettamente vincolato, un attaccante poteva inviare un messaggio apparentemente valido ma che rappresentava un valore quasi nullo sulla chain di origine, inducendo il contratto a rilasciare fondi dalle riserve.

Perché i bridge cross-chain continuano a essere hackerati

Gli incidenti del 2026 hanno rafforzato un avvertimento di lunga data nella sicurezza blockchain: i bridge sono spesso il componente più pericoloso dell'infrastruttura DeFi.

Diverse debolezze strutturali ricorrono costantemente negli exploit dei bridge.

1. Sicurezza concentrata in un piccolo insieme di validatori

I bridge si affidano spesso a un gruppo ristretto di validatori, relayer o verificatori per confermare i messaggi cross-chain. Se uno o più di questi attori vengono compromessi—come nel caso KelpDAO—gli attaccanti possono autorizzare trasferimenti fraudolenti.

2. Rischio legato a chiavi private e schemi di firma

Molti bridge dipendono da sistemi multisig o a firma di soglia per controllare i vault che custodiscono ingenti riserve di token. Se gli attaccanti recuperano abbastanza frammenti di chiave o compromettono nodi partecipanti, possono produrre firme dall'aspetto legittimo per prelievi malevoli. Questo è stato un fattore sospetto nell'exploit di THORChain.

3. Validazione incompleta dei messaggi

I bridge devono verificare che gli eventi su una blockchain siano realmente accaduti prima di rilasciare asset su un'altra. Controlli mancanti o regole di validazione inconsistenti—come il fallimento del bridge Verus nel confermare gli importi di origine—possono permettere a prove falsificate di superare la verifica.

4. L'infrastruttura off-chain come superficie d'attacco

I sistemi cross-chain dipendono fortemente da nodi RPC, relayer, infrastruttura di monitoraggio e strumenti operativi. Compromettere questi sistemi può avvelenare i dati utilizzati dalle reti di verifica dei bridge, come visto nell'exploit di KelpDAO.

Perché gli attacchi sono importanti per la DeFi

Gli exploit ai bridge non si limitano a prosciugare fondi: mettono in discussione la promessa centrale della finanza decentralizzata: la mobilità senza soluzione di continuità degli asset tra blockchain.

Quando un bridge fallisce:

• Gli asset wrapped possono perdere il loro backing
• I mercati di prestito DeFi che utilizzano quegli asset come collaterale possono bloccarsi
• Le rotte di liquidità e trading cross-chain possono interrompersi

Poiché i bridge agiscono come hub di custodia che detengono ingenti riserve di token, un singolo exploit può riverberarsi su più chain e protocolli.

L'ondata di attacchi all'inizio del 2026 ha mostrato che il problema non sono bug isolati, ma un rischio architetturale sistemico. Finché i progetti di bridge non si baseranno su modelli di verifica più forti, validatori più decentralizzati e infrastrutture operative più robuste, i sistemi cross-chain rimarranno uno dei bersagli più ambiti nella sicurezza crypto.