📝 Ciao a tutti, sono 𝟏𝟎, a dire il vero ho un po' paura, non è tanto la tecnologia in sé, ma il fatto che stiamo ancora usando strategie difensive obsolete contro un avversario già armato di AI.

I dati parlano chiaro: nel Q1 2026, gli attacchi DeFi hanno raggiunto un picco storico; il Q2 è appena iniziato e siamo già in prossimità del massimo. In passato pensavo che gli attacchi a livello statale fossero esagerati, ma da KelpDAO, Step Finance a WazirX, questo rischio sta diventando sempre più concreto.

KelpDAO è un esempio tipico. Il problema non è nel codice, ma nell'eredità. Hanno usato la configurazione predefinita di LayerZero, che consente a un singolo validatore di confermare i messaggi cross-chain e non è sotto audit. Risultato: 292 milioni di dollari svaniti in un batter d'occhio.

I rischi attuali non riguardano solo se il codice è stato scritto male, ma anche se potresti non sapere affatto quali rischi hai ereditato.

👇👇👇

Uno, con l'arrivo dell'IA, l'attacco e la difesa non sono più equilibrati.

In passato pensavo che, fintanto che gli audit fossero sufficienti e le impostazioni multi-firma fossero sicure, insieme a misure come il time lock, tutto sarebbe stato molto stabile e mi sarei sentito più sicuro.

Ora la situazione è un po' diversa, gli esseri umani potrebbero impiegare settimane per controllare attentamente le configurazioni di centinaia di protocolli; ma l'IA può completare un lavoro simile in poche ore. E AI come Mythos di Anthropic possono persino trasformare una vulnerabilità nota in uno strumento di attacco diretto in meno di 24 ore, a un costo di meno di 50 dollari.

Questo ha portato a due cambiamenti molto reali:

Primo, quelle vulnerabilità che pensi siano difficili da scoprire, ora l'IA può trovarle in massa.

In secondo luogo, mentre cerchi di proteggerti da ogni vulnerabilità, gli attaccanti stanno già utilizzando l'IA per scansioni su larga scala.

Quindi ora sono sempre più propenso a un approccio più pratico: invece di presumere che il sistema sia sicuro, è meglio dare per scontato che prima o poi potrebbe essere attaccato. Pensare in anticipo a come fermare rapidamente le perdite e controllare i danni è, in realtà, più importante.

In breve: invece di cercare di bloccare ogni porta, è meglio pensare a come ridurre al minimo i danni nel caso in cui una porta venga aperta.

Due, il vero pericolo non è la vulnerabilità del contratto, ma quella umana.

Questa frase non è mia, è ciò che i dati ci dicono. Entro il primo trimestre del 2026, le perdite totali nel settore a causa di phishing e attacchi di ingegneria sociale supereranno il 65%, per un ammontare di circa 306 milioni di dollari.

Ad esempio, nell'incidente di WazirX da 230 milioni di dollari, il problema non era il contratto intelligente, ma la chiave privata dell'amministratore del wallet multi-firma è stata rubata. Dopo aver ottenuto i diritti, l'attaccante ha modificato direttamente la logica del wallet.

Detto in altre parole: il contratto è sicuro e il processo è progettato bene, ma se le persone con accesso vengono ingannate o compromesse, tutto è perduto.

Non dipendere solo da un wallet multi-firma, puoi gestire i fondi per scopi diversi separatamente, usando strutture multi-firma diverse per controllare i rischi. E c'è un punto ancora più cruciale: non mescolare le chiavi con i dispositivi quotidiani.

Se il tuo computer o il tuo telefono navigano in rete, ricevono email, usano Slack o cliccano su link sospetti, allora questi dispositivi non possono più essere considerati ambienti sicuri.

In parole semplici: appena è connesso a Internet, è dato per scontato che abbia dei rischi. Potrebbe sembrare esagerato, persino eccessivamente cauto. Ma in questa fase, essere cauti riguardo alla sicurezza è la norma.

Tre, l'interruttore di emergenza non è un optional, è il tuo freno finale.

Molti pensano che l'interruttore di emergenza debba essere usato solo come ultima risorsa, ma in realtà dovrebbe essere progettato fin dall'inizio.

Per dirla in modo chiaro: quanto più ampia è la tua via d'uscita, tanto maggiore è il tuo limite di perdita. Una funzione di conio senza limite di blocco è come un assegno in bianco per vulnerabilità di conio illimitato.

Inoltre, l'interruttore di emergenza non può essere solo nella UI. Devi avere uno script che congeli tutte le movimentazioni di valore con un solo clic, eseguito in modo atomico. E prima di premere, è meglio avere già un sistema di allerta in funzione, con monitoraggio off-chain che tiene d'occhio le tue invarianti, una volta infrante, si passa immediatamente al contatto umano.

Perché sottolineo l'importanza delle persone? Perché l'IA può rilevare, ma la decisione finale deve comunque essere presa da un umano. Nessuno vuole che un algoritmo decida se congelare o meno milioni di dollari.

Quattro, un concetto tecnico che mi piace molto: le invarianti.

Una variabile è una regola che deve sempre essere rispettata nel design del sistema, indipendentemente da cosa accade. Ad esempio: deposito totale ≤ debito totale.

Puoi scrivere queste regole nel codice, facendo sì che il sistema controlli automaticamente dopo ogni funzione chiave. Se trova che la regola è stata infranta, il sistema si ferma immediatamente o genera un errore, non continuando più con le transazioni.

Molti attacchi DeFi (come i prestiti flash o l'manipolazione degli oracle) derivano dal fatto che l'attaccante ha manomesso il processo di esecuzione della funzione, portando il sistema a uno stato errato per un breve periodo.

Ma se verifichi le invarianti nello stato finale, anche se sono state modificate nel mezzo, devono tornare a uno stato legittimo, altrimenti è fallimento diretto. Puoi entrare, ma non puoi uscire con risultati errati.

Naturalmente, le invarianti non devono essere troppe. Se cerchi di limitare tutto, il sistema diventa rigido, e potresti non riuscire nemmeno a operare normalmente.

Un buon approccio è scegliere solo due o tre regole fondamentali, come la sicurezza dei fondi e l'equilibrio degli asset, come obiettivi di protezione principali.

Poi, convalidale tramite verifiche formali o test di stato, di solito coprono già la maggior parte dei rischi.

Cinque, l'essenza della sicurezza è lasciare spazio per il caos.

Ora credo sempre più che la sicurezza non sia qualcosa che si risolve con un audit o un rapporto. È più un processo che deve funzionare ogni giorno, mantenendo alta la vigilanza.

C'è un detto che dice: non avere prove di essere stati hackerati non significa che non lo sarai mai. Il vero pericolo non è la vulnerabilità stessa, ma il momento in cui pensi che tutto sia a posto.

Quindi ora il mio atteggiamento è: accettare che potrei essere hackerato, ma non permettere mai che tutto venga portato via in un colpo solo. Pensare in anticipo a cosa fare, fare delle prove, configurare il wallet del custode e stilare in anticipo i processi di negoziazione e tracciamento. Non è per la perfezione, è per non andare nel panico quando quel giorno arriverà.

Non si tratta di evitare del tutto i problemi, ma di essere in grado di mantenere la calma quando si verificano.