Come rompono il DeFi: i cinque vettori su cui cadono miliardi di perdite

Il DeFi perde miliardi all'anno, ma la varietà degli attacchi è ingannevole: la stragrande maggioranza degli incidenti sono cinque vettori ricorrenti.

I cinque vettori

• 1. La manipolazione dell'oracolo. Il protocollo legge il prezzo da una pool sottile - l'attaccante la muove con un volume da flash loan e prende in prestito/preleva sulla valutazione disegnata. L'eterno classico del genere.
• 2. La reentrancy e i bug logici. Errori nel codice: il rientro in una funzione prima dell'aggiornamento del saldo, arrotondamenti storti, verifiche dei diritti dimenticate. Si cura con gli audit - e succede comunque.
• 3. Le chiavi private e i multisig. Il vettore più caro degli ultimi anni non è il codice ma le persone: il phishing dei firmatari, i deployer compromessi, le interfacce di firma contraffatte. Il furto da Bybit (2025, ~$1.5 miliardi, Lazarus) è il vertice di questo genere.
• 4. I bridge. I depositari di asset altrui con validatori-intermediari - le vittime principali del decennio: Ronin, Wormhole, Nomad. I dettagli nella rubrica bridge.
• 5. Gli attacchi di governance. L'acquisto/il prestito di voti → una proposta malevola → la tesoreria. Costa poco dove il token costa meno della tesoreria.

Cosa ne consegue per l'utente

La diversificazione tra protocolli non è paranoia, ma la risposta al tasso base del settore. L'età del codice e il bug bounty funzionano. E il rischio più sottovalutato non sono gli smart contract ma l'operatività dei team: le chiavi, i firmatari, il phishing. La cronaca degli incidenti la teniamo nella rubrica degli hack.