Monitor cybersec

Chi è stato colpito

I firewall di SonicWall, cioè gli apparecchi che proteggono la rete di un'azienda, con il sistema SonicOS di settima o ottava generazione (Gen7 e Gen8). Il problema riguarda quelli che usano la VPN SSL, il collegamento protetto per entrare nella rete da fuori, con l'accesso tramite SAML, cioè con un unico account aziendale

Ultime informazioni verificate

La falla CVE-2026-19868, un punto debole del sistema, permette a chi ha già credenziali valide per un altro metodo di accesso di aggirare il login SAML della VPN. In questo modo si evita anche la verifica in due passaggi, quella che oltre alla password chiede un codice. SonicWall ha ricevuto una segnalazione di attacco e il 6 novembre ha corretto questa e altre sei falle. Lo stesso giorno la CISA, l'agenzia americana per la sicurezza informatica, l'ha aggiunta all'elenco delle falle sfruttate davvero negli attacchi. Le agenzie federali americane hanno tempo fino al 20 novembre per correggerla.

Chi è stato colpito

Aziende di tutto il mondo, tra cui ospedali in Missouri e in California e una banca del Rhode Island. Tra le vittime ci sono anche una società tecnologica nel Regno Unito, una società finanziaria del Massachusetts e un produttore di cibo per animali in Florida

Ultime informazioni verificate

Negli Stati Uniti tre uomini sono accusati di aver convinto impiegati di molte aziende a fare bonifici urgenti per un'operazione «riservata». Prima arrivava un'email a nome del capo, poi una telefonata con la sua voce imitata e infine un finto avvocato di un grande studio internazionale. La procura stima un bottino di circa 129 milioni di dollari, tra cui quasi 5 milioni presi a un ospedale del Missouri e 11,5 milioni a una società britannica. I soldi passavano su conti negli Stati Uniti, in Europa, negli Emirati e in Cina e poi diventavano criptovalute. I tre sono stati arrestati tra giugno e settembre in Spagna e nel Regno Unito, e l'estradizione è in corso.

Chi è stato colpito

Iris Ohyama, grande produttore giapponese di articoli per la casa ed elettrodomestici, con il suo negozio online Iris Plaza

Ultime informazioni verificate

Il 28 ottobre Iris Ohyama ha trovato file sospetti nel servizio cloud esterno che usa per il negozio online Iris Plaza, e ha spento il negozio e i siti collegati. Il 5 novembre l'azienda ha detto che possono essere usciti i dati di circa 7,7 milioni di persone. Sono 5,8 milioni di clienti registrati, attuali o passati, e 1,9 milioni di acquirenti senza registrazione. Si tratta di nome, indirizzo, telefono, email, sesso, data di nascita e, per i clienti registrati, la password cifrata. I dati delle carte di credito non erano in quel servizio. Al 5 novembre non risultano abusi e gli autori non sono stati identificati.

Chi è stato colpito

Crédit Mutuel Arkéa, gruppo bancario cooperativo francese con sede vicino a Brest e oltre 5,8 milioni di soci. Ne fanno parte Crédit Mutuel de Bretagne, Crédit Mutuel du Sud-Ouest e Fortuneo

Ultime informazioni verificate

Gli attaccanti sono entrati dalla piattaforma di un fornitore esterno e dal conto della banca stessa hanno fatto bonifici verso altre banche, poi hanno convertito il denaro in criptovalute. La banca per ora stima un danno di circa 100 milioni di euro e non conferma i 118 milioni circolati sulla stampa, anche se l'ordine di grandezza è quello. Una parte dei fondi è stata bloccata e i conti dei clienti non sono stati toccati, ma alcuni bonifici sono stati sospesi e sono arrivati in ritardo. La procura di Parigi ha aperto un'indagine e l'ha affidata all'ufficio francese contro la criminalità informatica (OFAC).

Chi è stato colpito

Plenus, la società giapponese che gestisce Hotto Motto, una grande catena di pasti da asporto, con il servizio esterno che spedisce la sua newsletter

Ultime informazioni verificate

Tra il 28 e il 31 ottobre qualcuno è entrato senza permesso nel servizio di un fornitore esterno che spedisce la newsletter di Hotto Motto. Il 4 novembre Plenus ha detto che sono uscite fino a circa 7 milioni di schede di iscritti, con email, nome, data di nascita e numero di telefono. Le carte di credito non c'entrano, perché quel servizio non le conservava, e gli ordini online funzionano come prima. Il servizio della newsletter è fermo e non c'è una data per la ripartenza.

Ultime informazioni verificate

Il 3 novembre 2026 Gnosis Pay ha rilevato un accesso non autorizzato al sistema delle carte a marchio Gnosis Pay (clienti privati). Il 6 novembre ha scritto via email a tutti i clienti coinvolti, senza dire quanti sono. Secondo gli avvisi ai clienti letti da Cointelegraph, sono esposti numero completo della carta, scadenza, CVV, nome, indirizzo di casa, indirizzo del wallet, email, telefono, nazionalità e, in alcuni casi, IBAN e BIC. Gnosis Pay dice che i fondi non sono stati toccati e che la piattaforma per le carte dei partner (white label) non è coinvolta. Ha chiuso la falla, cambiato le credenziali e reso obbligatorio il 3D Secure per i pagamenti online. Il vecchio sistema verrà spento il 20 dicembre 2026.

Chi è stato colpito

Gli switch di rete Zyxel della serie GS1900, dieci modelli in tutto, in 48 paesi. Uno switch è l'apparecchio che collega tra loro i computer di una rete

Ultime informazioni verificate

Da metà agosto un gruppo che secondo GreyNoise è di lingua cinese ha violato 996 switch Zyxel GS1900 in 48 paesi e ha rubato configurazioni e password cifrate. Gli attacchi erano stati attribuiti a una falla, cioè un punto debole del programma, che Zyxel aveva corretto a giugno. Binarly ha scoperto invece che sfruttavano una falla diversa e ancora aperta, la CVE-2026-107441, che funzionava anche sugli switch aggiornati. Zyxel l'ha corretta a fine ottobre e ha pubblicato l'avviso il 3 novembre.

Ultime informazioni verificate

Nella notte del 2/11/2026 (ora di Brasilia) un attaccante ha svuotato i wallet operativi (hot wallet) collegati alla piattaforma su almeno 10 blockchain, tra cui Ethereum, Solana, Tron, Polygon, Arbitrum, Avalanche, BSC e Stellar. Le uscite sono normali transazioni firmate, non l'exploit di uno smart contract: come l'attaccante abbia ottenuto il potere di firma non è ancora noto. Nel comunicato ufficiale del 2/11 (X @MercadoBitcoin) l'exchange dice di aver contenuto un incidente di sicurezza in uno dei suoi sistemi, che i clienti non hanno subito perdite e che non ci sono state fughe di dati; depositi e prelievi sono stati sospesi per precauzione. Secondo Bloomberg e CoinDesk la perdita è di circa 40 milioni di dollari e l'azienda ha detto che la coprirà con fondi propri, ricomprando le criptovalute sottratte. Tether ha congelato oltre 4,5 milioni di USDT legati all'attacco. Nessuna attribuzione pubblica. La riapertura è graduale: dal 9/11 si possono solo consultare saldi ed estratti; per prelievi, depositi e negoziazione l'exchange non ha dato date.

Chi è stato colpito

Supermercati, aziende alimentari e banche del sangue in 12 paesi europei, Italia compresa

Ultime informazioni verificate

In una sola notte qualcuno ha cambiato a distanza le impostazioni degli impianti frigoriferi. In molti negozi i banchi frigo sono saliti fino a 50 °C e la merce è stata buttata. Ci sono casi confermati in Belgio, Lussemburgo, Paesi Bassi, Svezia, Estonia, Irlanda, Finlandia, Italia, Portogallo, Germania e Regno Unito. Il primo conteggio parla di oltre 115 negozi, tra cui circa 40 Delhaize, 15 Carrefour in Belgio, 13 SuperValu e 7 Intermarché in Portogallo. Secondo Il Post, in Sicilia i negozi colpiti sono più di 20, ma le cifre cambiano da una fonte all'altra. In tre sedi della banca del sangue francese, l'Établissement français du sang, le celle del plasma sono state programmate a 110 °C invece dei soliti −30 °C. Gli allarmi hanno permesso di intervenire in tempo e non si è perso nulla. Nessuno ha rivendicato l'attacco in modo verificabile. Indagano la procura federale belga, la Polizia Postale con l'Agenzia per la cybersicurezza nazionale (ACN) e una squadra dell'Unione europea con le sue agenzie ENISA ed Europol. Il 5 novembre la CISA, l'FBI e altre agenzie americane hanno avvertito insieme che gli attacchi agli impianti frigoriferi sono in corso in tutto il mondo. Colpiscono le centraline di controllo non aggiornate o raggiungibili da internet.

Chi è stato colpito

Le app ufficiali che mandano gli allarmi alla popolazione in Ucraina e in Russia

Ultime informazioni verificate

La sera del 1° novembre l'app ucraina Air Alert ha mostrato per poco falsi allarmi nucleari, chimici e di combattimenti in strada a Kiev e in altre zone. L'Aeronautica militare ucraina li ha smentiti parlando di «influenza nemica», e intanto sirene e altri canali funzionavano: la confusione è finita in meno di un'ora. Poche ore dopo il ministero russo per le Emergenze ha detto che la sua app ha subito un «massiccio attacco informatico», con falsi avvisi di attacchi di droni. Non è chiaro se i due casi siano collegati, e non si sa con certezza chi sia stato.

Chi è stato colpito

Chainalysis, una società che analizza la blockchain, cioè il registro pubblico dei movimenti di criptovalute. I suoi strumenti servono alle indagini sulle criptovalute e ai controlli contro il riciclaggio di denaro

Ultime informazioni verificate

Il 30 ottobre Chainalysis ha detto che un aggressore, usando agenti AI, è entrato nei suoi sistemi e ha letto nomi, email e ruoli degli utenti. Il 4 novembre ha ammesso che di tutti gli utenti sono stati esposti anche nome utente, password cifrata e token attivi, cioè chiavi d'accesso ancora valide. L'azienda ha spento i servizi Reactor e Data Solutions, e poi anche KYT, il servizio che controlla le transazioni, dopo attività anomale su alcuni account. Dal 6 novembre KYT torna online per gradi, e l'azienda dice di non avere prove che qualcuno abbia avuto accesso ai dati delle indagini.

Chi è stato colpito

WorkOS, una piattaforma americana che gestisce gli accessi e gli account degli utenti per migliaia di aziende tecnologiche, tra cui OpenAI, Anthropic e Cursor. Sono coinvolti anche i dati commerciali dei suoi clienti

Ultime informazioni verificate

Dal 25 ottobre un agente AI è entrato in un programma interno usato dai venditori di WorkOS, raggiungibile da internet per errore e protetto da una password di prova. Il 30 ottobre l'agente ha scaricato in massa contatti, storico dei clienti e riassunti di chiamate, richieste di assistenza e chat su Slack con i clienti. I servizi di accesso che WorkOS fornisce ai clienti non sono stati toccati. Il 6 novembre WorkOS ha spiegato che l'agente ARTEX era di un ricercatore ed era uscito dall'ambiente di prova, e il ricercatore dice di aver cancellato i dati.

Ultime informazioni verificate

La sera del 29/10/2026 (dalle ~21:30 ora italiana) i wallet operativi (hot wallet) di Binance su Ethereum, Arbitrum e Avalanche hanno registrato uscite non autorizzate verso indirizzi sconosciuti. L'indagine iniziale di Binance (X @binance, 30/10 ore 03:25) indicava il portatile compromesso di un ingegnere DevOps, da cui l'attaccante avrebbe raggiunto un container di servizio e inviato transazioni di prelievo non autorizzate; alle 09:47 del 30/10 Binance ha aggiornato il quadro: l'indagine ha trovato «ulteriori punti di violazione» e l'attacco è definito «complesso», con i fatti ancora in via di accertamento. Binance dichiara di non aver trovato prove di una fuga delle chiavi private dei wallet e che le uscite si sono fermate con la sospensione dei prelievi. L'impatto stimato da Binance è di circa 6,3 miliardi di dollari, di cui circa 3 miliardi già congelati on-chain con i partner (soprattutto stablecoin bloccate da Tether e Circle). Alle 11:55 del 30/10 Binance ha comunicato di aver avviato il ripristino degli asset colpiti per gli utenti e di aver accantonato oltre 6,34 miliardi di dollari di fondi aziendali, di cui 5 miliardi già detenuti negli stessi token sottratti; il resto viene acquistato sul mercato e tramite OTC, operazione che per i token meno liquidi può richiedere più tempo. Chainalysis e TRM Labs attribuiscono l'attacco al gruppo nordcoreano TraderTraitor. Alle 15:33 del 30/10 il co-CEO Richard Teng (X @_RichardTeng) ha aggiunto che l'attacco «non è stato opera di una sola persona», che l'attaccante ha usato una delega EIP-7702 per ottenere l'autorizzazione a eseguire operazioni su un hot wallet senza passare dai normali controlli di approvazione e un meccanismo di autodistruzione che ha cancellato strumenti e tracce; secondo Binance il danno riguarda i suoi hot wallet e non i fondi dei clienti, custoditi per lo più in cold wallet. I depositi funzionano normalmente dalle 05:36 del 30/10. Il 31/10, secondo l'FBI (riportato da CNBC e Decrypt), l'attacco è opera della Corea del Nord. Con l'aggiornamento ufficiale n. 4 del 1/11 (X @binance, ore 05:11) Binance ha riaperto i prelievi a fasi dalle 07:00 italiane, partendo dalle reti e dai token più richiesti (tra cui BTC, ETH, USDT, USDC, BNB, XRP); le altre reti vengono riattivate man mano che superano i controlli di sicurezza, e alcune risultano ancora in test. Nello stesso aggiornamento Binance dichiara di aver coperto circa il 95% dell'importo colpito con fondi propri (dal 90% del giorno prima), che i saldi in BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD e ZEC sono coperti al 100% e che le perdite non saranno ribaltate sugli utenti; il 5% residuo riguarda token meno liquidi, ancora in acquisto. Con l'aggiornamento ufficiale n. 5 del 2/11 (X @binance, ore 13:49) Binance ha completato la prova a conoscenza zero (zk-SNARK) della Proof of Reserves sulla fotografia del 31/10 ore 01:00 italiane: chi detiene BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD o ZEC può verificare da sé, con lo strumento open source del sito PoR, che il proprio saldo è coperto almeno 1:1. Una nuova fotografia estesa ad altri token è prevista per il 4/11, con prova completa stimata in 40-50 ore. La copertura resta al 95%; la fase successiva di riapertura dei prelievi su altre reti e token è annunciata per il 3/11, a rilascio progressivo. Il 2/11 (X @binance, ore 09:30 circa) Binance ha comunicato che i prelievi in valuta tradizionale sono attivi per oltre 25 valute, tra cui euro e franco svizzero, con l'aggiunta del dollaro USA; alle 15:35 dello stesso giorno ha diffuso un avviso ufficiale sulle truffe legate alla riapertura (falsi messaggi, chat di gruppo e piccoli trasferimenti con messaggio allegato che promettono prelievi accelerati, rimborsi o lo spostamento dei fondi in un «vault»). Con l'aggiornamento ufficiale n. 6 del 3/11 (X @binance, ore 04:30) è partita alle 05:00 italiane la seconda fase di riapertura dei prelievi su altri token e reti, anche questa progressiva man mano che superano i controlli di sicurezza; Binance ribadisce che sosterrà per intero l'impatto economico del furto e che le perdite non saranno ribaltate sugli utenti. Nelle ore successive ha segnalato tra i primi asset riattivati alcune stablecoin su rete Ethereum (RLUSD, USD1, TUSD, FDUSD, XUSD); alle 08:08 dello stesso giorno (X @binance) ha aggiunto 34 token su rete Ethereum (tra cui LINK, ONDO, SHIB, ENA, USDE, PENDLE, WBETH e BTC su Ethereum) e 22 token su rete Solana (tra cui USD1, FDUSD, JUP, BONK, WIF, PYTH, RENDER). Alle 15:33 del 3/11 (X @binance) Binance ha pubblicato il primo rapporto ufficiale sull'incidente. L'impatto è di circa 6,34 miliardi di dollari, di cui circa 2,85 miliardi congelati o intercettati; al 31/10 il 98% dei token colpiti risulta già reintegrato e verificabile nella pagina Proof of Reserves, mentre i token meno liquidi sono ancora in acquisto. Binance riconosce che l'incidente «non sarebbe dovuto accadere» e cita l'FBI per l'attribuzione alla Corea del Nord. Secondo il rapporto la falla non sta nelle chiavi dei wallet ma nell'accesso a un servizio interno di firma delle transazioni: a giugno un ingegnere del team wallet aveva scaricato un'installazione manomessa di uno strumento di sviluppo; a settembre un secondo ingegnere, contattato con un falso colloquio di lavoro, ha eseguito sul computer di lavoro un «compito» contenente malware non rilevato dagli antivirus; dal 20/10 l'attaccante ha usato uno strumento interno di intelligenza artificiale per arrivare ad altri due ingegneri e a un token di deployment, e il 29/10 ha lanciato l'attacco. Tra le 21:05 e le 21:09 italiane cinque hot wallet hanno inviato 233,46 milioni di XRP all'attaccante, seguiti da circa 970.500 SOL, 44,2 milioni di OP e 18.270 BTC; la delega EIP-7702 su un hot wallet Ethereum ha permesso all'attaccante di continuare a muovere fondi anche dopo la sospensione dei prelievi, e l'ultimo trasferimento non autorizzato (2.961,9 ETH) è stato confermato alle 00:56 del 30/10; la delega è stata revocata alle 01:10. Binance dichiara di aver chiuso i punti d'ingresso, ricostruito in un ambiente nuovo il sistema wallet e lo strumento interno coinvolti, sostituito i dispositivi e revocato le credenziali, e di aver affidato una revisione a società di sicurezza indipendenti. Con l'aggiornamento ufficiale n. 7 del 4/11 (X @binance, ore 16:26) Binance dichiara di aver reintegrato circa il 98% dell'importo colpito con fondi propri; il 2% residuo riguarda token meno liquidi, ancora in acquisto sul mercato e tramite OTC, con tempi più lunghi. Ha inoltre scattato una nuova fotografia della Proof of Reserves alle 01:00 italiane del 4/11, estesa a 44 token (erano 10): la prova a conoscenza zero che permetterà a chi detiene quei token di verificare da sé la copertura almeno 1:1 richiederà circa 50-60 ore di calcolo. La riapertura dei prelievi prosegue a fasi: non tutte le reti sono ancora attive. Con l'aggiornamento ufficiale n. 8 del 5/11 (X @binance, ore 05:50) è partita alle 05:00 italiane una nuova fase di riapertura dei prelievi su un'altra serie di token e reti, scelti in base alla domanda degli utenti nell'ultima settimana e riattivati gradualmente man mano che ogni coppia token/rete supera i controlli di sicurezza; i depositi restano aperti. Binance non indica ancora una data per la riapertura completa. Con l'aggiornamento ufficiale n. 9 del 6/11 (X @binance, ore 05:10) è partita alle 05:00 italiane un'ulteriore fase di riapertura dei prelievi su altri token e reti, con lo stesso criterio (priorità alla domanda degli utenti, riattivazione graduale dopo i controlli di sicurezza); i depositi restano aperti e non c'è ancora una data per la riapertura completa. Alle 11:49 italiane del 6/11 (X @binance) Binance ha indicato un obiettivo: riaprire entro la fine della settimana successiva i prelievi di HYPE, INJ, APT, PLASMA, NEAR e LTC, e i prelievi di tutti i token sulle reti già ripristinate (tra cui BSC, ETH, MATIC, ARB, POL, OP). È un obiettivo dichiarato, non una data garantita.

Ultime informazioni verificate

Il 29/10/2026, dalle ~18:05 ora italiana (17:05 UTC), utenti della piattaforma internazionale Polymarket.com hanno visto uscire fondi e posizioni dai propri conti senza autorizzazione. La falla non è nei contratti né nel registro degli ordini: Polymarket dichiara (X @PolymarketTrade e status page, 19:37 ora italiana) che «uno dei nostri fornitori terzi è stato compromesso»; secondo le analisi riportate dalla stampa, uno script esterno caricato sul sito cercava la sessione di trading dell'utente collegato per vendere le posizioni e trasferire i fondi. Polymarket non ha nominato il fornitore. Alle 19:05 la borsa è passata in sola cancellazione e il relayer è stato sospeso; il problema è stato dichiarato risolto alle 20:05 e il trading ripreso. Polymarket non ha pubblicato cifre: le stime on-chain (Conor Grogan, Arkham) parlano di circa 995 conti e ~2,65 M$ convertiti in POL dal wallet dell'attaccante. Polymarket promette che chi è stato colpito «sarà rimborsato integralmente» e ha segnalato il caso alle forze dell'ordine; nessun rimborso risulta ancora eseguito. È il secondo caso dell'anno legato a un fornitore del frontend, dopo quello di giugno.

Ultime informazioni verificate

La falla non è nei sistemi di Coinbase ma in quelli di Amplitude, il fornitore esterno di analisi dati usato dall'exchange, che ha subito un incidente di sicurezza che ha coinvolto anche altri suoi clienti. Il 28/10/2026 Coinbase ha confermato sul suo account ufficiale di assistenza che l'incidente ha toccato i dati di contatto di «una piccola parte» dei suoi clienti, che non risultano accessi non autorizzati ai propri sistemi e che i fondi dei clienti non sono stati toccati. L'azienda sta avvisando i clienti coinvolti e le autorità. Non sono stati comunicati né il numero dei clienti coinvolti, né i campi esatti esposti, né la data dell'incidente presso Amplitude; la cifra di circa 70.000 utenti che circola in rete non è confermata da Coinbase.

Chi è stato colpito

So-net e plala, due fornitori di internet giapponesi che fanno capo a Sony Network Communications, del gruppo Sony. Il servizio plala è usato anche da clienti di NTT Docomo

Ultime informazioni verificate

Il 19 ottobre qualcuno è entrato nell'archivio dei clienti di So-net e ha portato via 2.585.481 schede. Di queste, 2.141.986 sono di So-net e 443.495 di plala, e contengono nome, data di nascita, telefono, email e codici cliente. Per 54.401 caselle di posta sono uscite anche le password, che So-net ha reimpostato il 27 ottobre, e sono coinvolti anche i dati di 16 conti bancari. So-net ha spento il server il 23 ottobre, e al 27 ottobre non si sapeva ancora chi fosse entrato né da dove, ma non risultavano abusi dei dati.

Chi è stato colpito

UNM Health, l'ospedale universitario del New Mexico, negli Stati Uniti. È l'unico ospedale dello stato con un centro traumatologico di primo livello, quello attrezzato per i casi più gravi

Ultime informazioni verificate

UNM Health ha mandato le ambulanze in altri ospedali di Albuquerque e Santa Fe per circa due ore, e per il resto della giornata ha annullato interventi ambulatoriali e visite. Il 27 ottobre sono saltate anche le lezioni di quattro facoltà sanitarie, e il 28 ottobre tutte le strutture funzionavano di nuovo. L'attacco è stato rivendicato da BYOD, un gruppo che usa il ransomware, cioè programmi che bloccano i file e chiedono un riscatto. Poi BYOD ha regalato le chiavi per sbloccare i computer, dicendo di non sapere che servivano alla cura dei pazienti, e l'ospedale dice di non aver pagato alcun riscatto.

Ultime informazioni verificate

Il 24 ottobre 2026 gli sviluppatori di Electrum hanno pubblicato la versione 4.8.3 e un avviso di sicurezza di gravità alta sul repository ufficiale del progetto, dichiarando che alcuni server della rete stanno già sfruttando la falla. La falla sta nel client: per le transazioni non ancora confermate il wallet si fida di ciò che gli manda il server e, fino alla 4.8.2, non ne verificava le firme. Un server malevolo può così trattenere la transazione appena inviata dall'utente e mostrargliene al suo posto una falsa, con commissione a zero e l'uscita verso un indirizzo dell'attaccante. Se l'utente prova a velocizzarla aumentando la commissione (RBF), il wallet firma davvero il pagamento all'attaccante. L'avviso riporta almeno un utente che ha perso fondi in questo modo; numero di vittime, importo complessivo e numero di server coinvolti non sono stati resi noti. Le versioni dalla 4.8.3 verificano le firme degli input del proprio wallet; chi si collega solo a un server di fiducia, ad esempio il proprio, non è esposto. Electrum è software libero senza custodia: non esiste un rimborso.

Chi è stato colpito

Amadeus, la società spagnola che gestisce il sistema di prenotazione usato da molte compagnie aeree. Sono stati colpiti i passeggeri di Japan Airlines, Cathay Pacific, Singapore Airlines, ANA, Korean Air, Asiana e altre compagnie

Ultime informazioni verificate

Amadeus ha confermato una falla, cioè un punto debole, nel sistema che mostra le prenotazioni, da cui si potevano leggere codice di prenotazione, nome, voli e classe di viaggio. Finora le compagnie hanno contato circa 92.000 clienti di Japan Airlines, 53.000 prenotazioni di Cathay Pacific e 46.000 schede di Singapore Airlines. Per una piccola parte, circa 2.000 clienti di Japan Airlines e 620 di Singapore Airlines, erano esposti anche email, telefono e numero di passaporto. Secondo Amadeus la falla è chiusa e non ci sono prove di accessi ai dati di pagamento, ma l'azienda non ha detto quante compagnie e quanti passeggeri sono coinvolti.

Ultime informazioni verificate

Il 22 ottobre 2026 investigatori on-chain hanno segnalato su X un deflusso di circa 16 milioni di dollari in USDT e TRX da indirizzi riconducibili a CoinDCX, finito su un unico indirizzo Tron e poi frazionato verso depositi su Binance, OKX e Gate. Lo stesso giorno l'amministratore delegato aveva parlato di «falso allarme» e negato che i wallet fossero stati violati; il comunicato del 22/10 ammetteva solo «perdite operative» senza cifra. Il 25 ottobre CoinDCX ha confermato sul proprio blog (riportato da The Block e crypto.news) una perdita di 15,99 milioni di USDT, assorbita dalla società. Dove sta la falla, secondo l'exchange: la vecchia infrastruttura di wallet dismessa dopo l'incidente di luglio 2025 aveva «vulnerabilità sconosciute»; alcuni utenti hanno continuato a depositare su quegli indirizzi e il servizio automatico che doveva spostare i depositi in sicurezza («sweeping») per un periodo non ha funzionato, così i fondi si sono accumulati lì e sono stati sottratti. CoinDCX dichiara di aver accreditato i depositi agli utenti e che saldi dei clienti e sistemi di trading attivi non sono stati toccati. Tether ha congelato circa 2,2 milioni di USDT collegati il 22/10. Restano punti aperti: la società non ha detto da quando lo sweeping era fermo né come gli attaccanti abbiano preso il controllo degli indirizzi, e l'investigatore ZachXBT sostiene che almeno uno degli indirizzi era ancora usato da un fornitore di liquidità mesi dopo luglio 2025. È il secondo incidente in poco più di un anno, dopo i circa 44 milioni di luglio 2025.

Chi è stato colpito

Programmi e server che usano Brotli, come Node.js, .NET e PHP

Ultime informazioni verificate

Brotli, il componente di Google che comprime i dati, è dentro Node.js, .NET, PHP e nei prodotti di Cisco, F5, Palo Alto e altri. La falla è un errore che permette di bloccare un programma, leggerne la memoria e in alcuni casi fargli eseguire codice, mandandogli dati compressi preparati apposta. Node.js l'ha corretta il 21 ottobre e il 27 ottobre l'agenzia americana CISA ha detto che è già sfruttata, ma non ci sono numeri pubblici sulle vittime.

Chi è stato colpito

I server web che usano PHP, cioè i computer su cui girano i siti, e i firewall di Palo Alto, gli apparecchi che proteggono le reti delle aziende

Ultime informazioni verificate

PHP, il linguaggio usato da circa il 70% dei siti, ha due falle nel suo motore, cioè punti deboli che permettono di eseguire comandi su un server senza password. La società Dream ha documentato 25 server finiti sotto il pieno controllo degli aggressori negli Stati Uniti, in Giappone, a Taiwan e in Corea del Sud. Gli aggressori hanno unito PHP2Shell a una falla di Linux chiamata Fragnesia, e tra i server colpiti ci sono firewall di Palo Alto, come conferma il produttore. Le fonti non concordano su quanti attacchi siano riusciti: Sophos ha ritirato la sua prima segnalazione di un attacco riuscito e non risultano violazioni di massa di siti. Una terza falla, la CVE-2026-115560, non ha ancora una correzione.

Ultime informazioni verificate

Il 20 ottobre 2026 Keystone ha rilevato un accesso non autorizzato al proprio sito ufficiale. Nel post-mortem del 26 ottobre l'azienda spiega che l'attaccante ha sfruttato una vulnerabilità in uno strumento di monitoraggio dati di terze parti usato dal sito per alzare i propri privilegi: la falla sta quindi nel sito e-commerce, non nel firmware. Esposti: 25.964 schede acquirente del negozio Shopify (2024-2026) con nomi, recapiti, indirizzi di spedizione e ordini, rimaste in archivio oltre i 180 giorni previsti perché lo strumento automatico di cancellazione non funzionava; più 12.873 checkout non pagati con nomi, recapiti e indirizzi. Non coinvolti gli acquisti via Amazon e altri canali. L'attaccante ha ottenuto anche la chiave WebAuth con cui la pagina di autenticazione verifica che un dispositivo sia originale: è scritta in fabbrica e non si può cambiare, quindi potrebbe servire a produrre dispositivi contraffatti che superano il controllo. Keystone dichiara di aver cambiato chiave in produzione, di distruggere le 18.835 unità in magazzino con la chiave vecchia e di aver sospeso le spedizioni degli ordini dal sito (si passa al preordine). Non coinvolti, secondo l'azienda: seed phrase, chiavi private, credenziali dei wallet, dati di pagamento e documenti d'identità. Nessun furto di fondi riportato. Cancellazione dei dati scaduti chiesta a Shopify il 24 ottobre, completamento atteso il 3 novembre; segnalazioni alle autorità presentate in UE, Regno Unito e altrove.

Ultime informazioni verificate

La falla sta nel sistema di notifiche dell'app LIQUID, non nel dispositivo ZERO: secondo il report ufficiale di NGRAVE del 19/10/2026, gli attaccanti hanno preso il controllo dell'accesso del fornitore terzo che invia le notifiche push di LIQUID (primi segni d'accesso dall'11/10). Il 17/10 verso le 21:30 UTC hanno inviato agli utenti un falso «avviso di sicurezza» (sincronizzazione da un Pixel 9 a Mosca), arrivato dallo stesso canale delle notifiche vere, che portava a una copia del sito NGRAVE dove veniva chiesta la frase di recupero di 24 parole o la Perfect Key. Chi l'ha inserita ha visto il wallet svuotato in pochi minuti. NGRAVE ha bloccato tutti gli invii alle 22:45 UTC; l'ultimo furto tracciato è delle 03:51 UTC del 18/10. Importo tracciato da NGRAVE: circa 2,56 milioni di dollari da circa 70 indirizzi su quattro reti (BTC 1,77 M$, XRP 454k$, asset Ethereum 316k$, Stellar 18k$), cifra dichiarata minima. Con la seconda chiave l'attaccante ha anche copiato l'elenco delle notifiche (modello del telefono, versione dell'app, paese, fuso orario, possibilmente IP e posizione approssimativa) e poteva leggere storico degli swap, dati d'uso e alcune richieste di cancellazione dati (email e numero d'ordine); nome e indirizzo di spedizione stanno in un sistema separato e non erano raggiungibili. Chiavi private, frase di recupero e dispositivo ZERO non sono stati violati. NGRAVE ha sostituito tutte le chiavi, segnalato l'esposizione all'autorità belga per la protezione dei dati e chiesto a exchange e bridge di congelare i fondi; il CEO ha scritto che l'azienda ha «completamente fallito» sulla sicurezza. Il 20/10 LIQUID è tornato operativo. Non sono stati annunciati rimborsi.

Chi è stato colpito

Più di 200 organizzazioni in almeno 14 paesi, tra cui ministeri e uffici di un governo europeo

Ultime informazioni verificate

In 11 giorni a partire dal 17 ottobre il gruppo VAPOR PANDA ha preso di mira più di 200 organizzazioni. Tra i bersagli ci sono ministeri degli Esteri, uffici di un governo europeo (presidenza, difesa, giustizia, finanze e servizi segreti), compagnie telefoniche americane, belghe e filippine e aziende farmaceutiche. CrowdStrike ha confermato che in 9 organizzazioni gli aggressori sono entrati davvero nella rete e hanno installato una backdoor, cioè un accesso nascosto. In un ente pubblico greco gli agenti si sono creati un falso permesso da amministratore e hanno letto le caselle di posta.

Chi è stato colpito

Chi usa Plex Media Server, il programma per guardare film e serie dal proprio archivio, sul computer o su dischi di rete (NAS) come quelli di QNAP

Ultime informazioni verificate

Quattro falle di Plex Media Server, cioè errori del programma, usate insieme permettono a chiunque su internet di dare comandi al server senza password. I dettagli sono usciti il 16 ottobre e gli attacchi sono partiti subito: secondo Plex, citata da QNAP, sono diffusi. I server presi servono a generare criptovalute e a far passare altro traffico, e a settembre Shadowserver contava più di 36.000 server Plex esposti e non aggiornati. Il 20 ottobre l'agenzia americana CISA ha inserito le quattro falle nel suo elenco di quelle sfruttate e il 6 novembre QNAP ha parlato di NAS violati attraverso Plex.

Ultime informazioni verificate

La falla sta nell'app SecuX, non nel dispositivo: con l'avviso ufficiale del 19/10/2026 SecuX ha confermato che il banner dentro l'app era stato «modificato in modo malevolo da hacker» per mostrare link a siti che si spacciavano per SecuX. Quei siti dicevano che il wallet aveva «vulnerabilità critiche» o richiedeva una «verifica immediata» o un «aggiornamento di sicurezza», e chiedevano di inserire la frase di recupero di 12 o 24 parole. Il caso era emerso la sera del 16/10, quando David Schwartz (ex CTO di Ripple) ha segnalato una notifica di phishing ricevuta dall'app Android; lo stesso giorno SecuX ha messo l'app in «manutenzione d'emergenza», dichiarandola di nuovo operativa poco dopo, mentre il 17/10 diversi utenti riferivano ancora di non riuscire ad accedere. SecuX non ha spiegato come gli attaccanti abbiano ottenuto l'accesso al banner, non ha indicato quanti utenti siano stati raggiunti né se qualcuno abbia perso fondi: al 21/10 nessuna perdita è stata quantificata. L'azienda dichiara di avere un'indagine in corso. Nessun rimborso annunciato.

Chi è stato colpito

Burger King Japan, la società che gestisce in Giappone la catena di fast food Burger King, con circa 350 locali, e gli iscritti alla sua app ufficiale

Ultime informazioni verificate

Tra il 2 e il 7 ottobre qualcuno è entrato senza permesso nel sistema che gestisce gli iscritti all'app ufficiale di Burger King Japan. Il 15 ottobre l'azienda ha confermato che i dati di circa 11,18 milioni di iscritti sono usciti all'esterno. Si tratta di nome, telefono, email, data di nascita, sesso, provincia di residenza e numero di iscrizione, oltre all'indicazione se la persona ha ordinato dall'app. Nel sistema non c'erano numeri di carte di credito e non risulta che siano uscite le password. L'azienda ha avvisato il garante giapponese della privacy e sta indagando con esperti esterni. Al momento dell'annuncio non c'erano abusi accertati e gli autori non erano stati identificati.

Chi è stato colpito

ConnectWise, che fa programmi per le aziende di assistenza informatica, e i suoi clienti che usano Microsoft 365

Ultime informazioni verificate

Il 15 ottobre gli aggressori hanno usato le credenziali dell'app Cloud Backup di ConnectWise per entrare negli account Microsoft 365 dei clienti. Microsoft ha contato tentativi di accesso a più di 2.250 tenant, cioè gli spazi cloud delle singole aziende, con picchi di circa 2.900 tentativi al minuto. In alcuni casi gli aggressori hanno ottenuto i permessi da amministratore in meno di 3 ore, e la società di sicurezza Huntress ha confermato accessi abusivi in almeno 162 tenant. ConnectWise ha sospeso Cloud Backup e altri due servizi, ha annullato le credenziali e ha cominciato a riattivarli un po' alla volta.

Chi è stato colpito

Aziende ed enti che usano la VPN Ivanti Connect Secure

Ultime informazioni verificate

Ivanti Connect Secure è la VPN di molte aziende ed enti, cioè il sistema che permette ai dipendenti di collegarsi alla rete interna da fuori in modo protetto. Tre falle, cioè errori nel software, usate in sequenza danno il controllo completo del dispositivo senza password, anche quando è aggiornato. Il gruppo UTA0576 le sfrutta almeno dal 3 ottobre per rubare credenziali e dati, senza installare programmi dannosi e alterando i registri delle attività. Ivanti parla di un numero limitato di clienti colpiti e ha corretto la prima falla il 13 ottobre, le altre due il 29 ottobre.

Chi è stato colpito

Ahold Delhaize, gruppo della grande distribuzione che possiede Albert Heijn, Etos, Gall & Gall, Delhaize, Food Lion e Stop & Shop

Ultime informazioni verificate

Dopo un attacco di «soggetti malevoli», Ahold Delhaize ha spento parte dei sistemi: si sono fermati siti, app e ordini online in Stati Uniti, Paesi Bassi e Belgio. Si è fermata anche una parte della logistica nel Benelux, ma i negozi sono rimasti aperti. Il 4 novembre l'azienda ha stimato che nel quarto trimestre perderà tra 200 e 250 milioni di euro di vendite e tra 75 e 100 milioni di utile operativo. Quasi tutti i problemi sono stati risolti in due settimane, il ripristino completo è in corso e per ora l'azienda dice di non avere prove di dati rubati.

Chi è stato colpito

Centinaia di supermercati in Francia: Intermarché, Netto, Coopérative U, Carrefour, Monoprix e Leclerc

Ultime informazioni verificate

Gli attaccanti hanno fatto partire a distanza lo sbrinamento forzato dei banchi frigo, che sono arrivati a 50 °C, e in alcuni casi ci sono stati incendi o apparecchi fusi. La merce fresca e surgelata è stata buttata e il gruppo che possiede Intermarché stima danni per «diversi milioni di euro». Il ministro dell'Economia ha parlato di circa 700 supermercati su 10.000, 300 dei quali di Intermarché e Netto, mentre altre fonti stimano tra 350 e oltre 500 negozi. Gli autori sono sconosciuti e indaga la procura di Parigi; negli Stati Uniti il Pentagono sospetta un attacco dietro i guasti di agosto ai congelatori di 6 spacci militari.

Ultime informazioni verificate

La falla sta nella catena di vendita, non nei sistemi di Ledger: il 9/10/2026 Ledger ha comunicato su X (@Ledger_Support) di indagare su perdite di fondi di utenti del Sud-Est asiatico che avevano comprato dispositivi dal rivenditore CryptoBilis, e gli ha chiesto di sospendere vendite e spedizioni. Il 10/10 Ledger ha confermato che il dispositivo di uno degli utenti colpiti conteneva un impianto hardware non autorizzato, cioè un apparecchio manomesso prima di arrivare al cliente. Il 13/10 Ledger ha pubblicato la prima analisi del suo laboratorio di sicurezza (Donjon): l'impianto è un componente separato nascosto nell'involucro, legge lo schermo durante la configurazione, ne ricava le 24 parole di recupero e le trasmette via rete mobile LTE tramite una eSIM; non modifica il Secure Element né il sistema operativo Ledger e non altera transazioni o firme. Tutte le perdite confermate riguardano dispositivi venduti da CryptoBilis, che ha smesso di vendere Ledger finché dura l'indagine. Nella notte fra il 13 e il 14/10 Ledger ha chiesto a rivenditori e distributori di Indonesia, Singapore, Thailandia, Filippine, Vietnam, Malesia e Hong Kong di sospendere le vendite e ritirare i prodotti dagli scaffali mentre si accerta chi abbia manomesso i dispositivi e in quale punto della distribuzione; gli incidenti confermati restano limitati al Sud-Est asiatico, Ledger non ha verificato svuotamenti legati a dispositivi comprati altrove e dichiara di non avere indizi di compromissione dei propri sistemi né del canale di vendita diretta. Il 14/10, dopo la segnalazione di una persona in Germania, il Donjon ha ispezionato le scorte di negozi e distributori tedeschi senza trovare segni di manomissione e riferisce che in Europa non sono state segnalate perdite legate a impianti; i dispositivi mostrati online in quel caso non sono ancora stati esaminati. Ledger non ha confermato né il numero di utenti colpiti né l'importo totale: le cifre in circolazione (stime di analisti onchain tra oltre 72 e oltre 86 milioni di dollari) vengono da terzi e Ledger dichiara di non averle verificate. Il 15/10 Ledger ha pubblicato sul proprio blog la ricostruzione ufficiale: un gruppo criminale organizzato ha comprato dispositivi Ledger autentici, li ha aperti, vi ha installato componenti nascosti per catturare la frase di recupero durante la configurazione e li ha rimessi in distribuzione attraverso rivenditori del Sud-Est asiatico, per poi svuotare i wallet in un'unica operazione coordinata; secondo Ledger nessuna falla nel chip, nel sistema operativo o nei server, e tutti i dispositivi esaminati in Germania e nei magazzini sono risultati puliti. Le contromisure annunciate: i dispositivi resi non potranno più essere rivenduti in nessuna forma, i prodotti Ledger non andranno più su scaffali o espositori, restano sospese le vendite nel Sud-Est asiatico e a Hong Kong, e sono in preparazione misure a livello di prodotto non ancora descritte. Anche nel post del 15/10 Ledger non indica né il numero di utenti colpiti né l'importo, e non annuncia rimborsi né compensazioni.

Chi è stato colpito

Almeno 9 banche della Corea del Sud, colpite o prese di mira, tra cui Shinhan, KB Kookmin e Hana

Ultime informazioni verificate

Da fine settembre almeno 9 banche sudcoreane hanno detto di essere state attaccate, oppure i media locali le hanno indicate come bersaglio. Shinhan Bank ha comunicato che sono stati violati i dati personali di circa 25.000 clienti, KB Kookmin quelli di 119 clienti, compresi dati di carte. CrowdStrike conferma che i dati sono stati portati via da un portale per gli intermediari e da un'app per i dipendenti. L'autorità finanziaria coreana, la FSC, ha avviato ispezioni e la polizia indaga, ma l'autore non è stato identificato: probabilmente parla cinese e agisce per soldi.

Chi è stato colpito

IDC Frontier, fornitore giapponese di servizi cloud del gruppo SoftBank, e 495 aziende ed enti locali che sono suoi clienti

Ultime informazioni verificate

Il 7 ottobre un ransomware, cioè un programma che blocca i file e chiede un riscatto, ha colpito i server di 495 clienti di IDCF Cloud. Per giorni sono rimasti fermi siti pubblici, come quello di una prefettura, e servizi di aziende, e IDC Frontier riapre il servizio in tre fasi senza aver pagato né trattato. L'attaccante è entrato da un difetto del programma open source usato per il login dei clienti e ha preso i permessi di amministratore. Secondo l'azienda dai server dei clienti non sono usciti dati, ma alcuni sono persi: al 20 ottobre solo 206 clienti potevano riavere i backup.

Chi è stato colpito

Il registro anagrafico nazionale della Danimarca, chiamato CPR, violato attraverso l'accesso di Pays ApS, una piccola azienda di Odense

Ultime informazioni verificate

Qualcuno ha usato l'accesso legale di un'azienda privata, Pays ApS, per consultare il registro anagrafico nazionale, e secondo TV 2 ha fatto più di 14 milioni di ricerche. Il ministero conferma il furto di nomi, indirizzi e numeri CPR, l'equivalente del nostro codice fiscale, di circa 8,8 milioni di persone. Il registro ha 11 milioni di schede, e tra le persone colpite ci sono vivi, emigrati e morti, ma non chi ha nome e indirizzo protetti. Secondo Politiken e TV 2 l'account usava la password «123456», e ora indagano la polizia e il Garante della privacy danese.

Ultime informazioni verificate

MetaMask ha dichiarato di essere «in corso di risposta a un incidente di sicurezza che riguarda parte della nostra infrastruttura». Le parole sono dell'aggiornamento ufficiale sul sito dell'azienda (metamask.io/news/user-update, pubblicato il 30 settembre 2026 e con ultima modifica l'1 ottobre alle 05:21 UTC), ripreso nella notte dall'account X verificato @MetaMask: «Stiamo affrontando e rimediando al problema internamente, in coordinamento con partner esterni e consulenti di sicurezza. A oggi non abbiamo individuato alcuna minaccia immediata per i wallet MetaMask. Come misura precauzionale stiamo uscendo in via proattiva dai validatori interessati all'interno delle nostre operazioni di staking non custodial». Cosa si sa, e cosa non si sa: MetaMask NON ha detto quale componente dell'infrastruttura sia stata compromessa, NON ha dichiarato il vettore, NON ha indicato quando l'intrusione sia iniziata e non risulta alcun CVE, alcun avviso di un produttore, alcun fornitore nominato. L'unica azione concreta annunciata è il ritiro dei validatori: i validatori interessati hanno iniziato la procedura di uscita e gli ultimi dovrebbero aver completato l'uscita — non il prelievo integrale — entro la fine del 7 ottobre 2026. Il perimetro, perché è la cosa che conta per chi usa il wallet: MetaMask è self-custody, le chiavi stanno sul dispositivo dell'utente, e l'azienda dichiara di non gestire le chiavi di prelievo dello stake per conto dei clienti. Quello che risulta toccato è l'infrastruttura dell'azienda e l'operazione di staking, non il wallet come tale. Il lato staking è stato confermato dall'altra parte: Lido ha preso atto che MetaMask Staking ha avviato «misure precauzionali per proteggere gli asset dei clienti» uscendo dai validatori del protocollo, e lo sviluppatore Will Shannon ha scritto che l'ETH uscito dai validatori gestiti da MetaMask Staking «dovrebbe rientrare nel protocollo gradualmente, man mano che i validatori completano il ciclo di uscita, prelievo e rientro, stimato fino a circa 45 giorni per via della coda di ingresso allungata». Per inquadrare la scala: secondo Cointelegraph MetaMask gestisce oltre 3 miliardi di dollari di ETH in staking. Nessuna perdita di fondi è stata dichiarata da nessuna delle parti, e per questo `importo_usd` resta vuoto: l'unico costo quantificabile citato dalle fonti sono i rendimenti mancati e le penalità di inattività sui validatori usciti. Il fatto è stato rilanciato anche da @CertiKAlert, che parla di «incidente di sicurezza che riguarda parte dell'infrastruttura di MetaMask» senza aggiungere dettagli propri. Resta aperto, e non è un dettaglio: finché la causa non è pubblica, chiunque usi lo stesso pezzo di infrastruttura non sa di doversi correggere. È lo stesso buco visto sul caso Bitget del 24 settembre, dove le indagini parlavano di un «Prodotto A» e un «Prodotto B» senza mai nominarli. **Aggiornamento del 2 ottobre 2026.** La pagina ufficiale è stata modificata l'ultima volta il **2 ottobre alle 01:01:34 UTC** e il linguaggio si è irrigidito in senso rassicurante: dove prima si leggeva «non abbiamo individuato alcuna minaccia immediata per i wallet», ora MetaMask scrive che «**non vi è alcuna indicazione che i wallet MetaMask o i fondi dei clienti siano stati coinvolti**». Su tutto il resto, invece, il comunicato è **identico a ieri**: nessuna causa, nessun vettore, nessuna indicazione su quali sistemi siano stati toccati, nessuna parola su un eventuale accesso a dati, nessun numero di validatori. Il perimetro dichiarato resta quello: incidente in corso su parte dell'infrastruttura, uscita precauzionale dei validatori, rimedio in coordinamento con partner esterni. Le cifre che circolano sulla stampa in queste ore — «17.000 validatori» e «1,4 miliardi di dollari» — **non provengono né da MetaMask né da Lido** e non sono riportate qui: per lo stesso motivo per cui `importo_usd` resta vuoto, un numero non dichiarato dalle parti non va in scheda.

Chi è stato colpito

Aziende ed enti che usano Citrix NetScaler ADC e Gateway, i dispositivi con cui molti dipendenti si collegano da fuori alla rete dell'azienda

Ultime informazioni verificate

Due falle, cioè errori nel software, permettono di eseguire comandi su NetScaler senza password, e una delle due, CVE-2026-88771, colpisce anche i dispositivi con le impostazioni di base. Citrix ha confermato attacchi prima delle correzioni del 27 settembre, e secondo Mandiant, che fa parte di Google, erano cominciati almeno a inizio settembre. Gli aggressori installavano accessi nascosti, camuffati da immagini o da fogli di stile, cioè i file che decidono l'aspetto delle pagine web. Su internet erano visibili più di 20.000 NetScaler e il 4 ottobre si è aggiunta una terza falla già sfruttata, CVE-2026-88779.

Ultime informazioni verificate

Banca d'Italia ha consegnato il rapporto dell'ispezione condotta da gennaio a giugno 2026, con giudizio parzialmente sfavorevole. I rilievi riguardano antiriciclaggio, rischio ICT, cartolarizzazioni, processi del credito e governance: secondo la Vigilanza il CdA non presidiava a sufficienza le decisioni strategiche sui rischi. Recepire i rilievi comporta fino a 215 mln € di rettifiche (157 mln sul portafoglio NPL acquistato, 58 mln sui crediti; 45 mln già contabilizzati a giugno 2026) e 200 mln € di riclassificazioni. La Vigilanza ha chiesto di rivedere la composizione del CdA e di distribuire dividendi solo con un margine di almeno 100 pb sopra i requisiti. Ha inoltre avviato un procedimento per requisiti di capitale aggiuntivi (massimo 90 giorni) e due procedimenti sanzionatori, con 45 giorni alla banca per le controdeduzioni. Nessuna sanzione pecuniaria è stata ancora irrogata.

Ultime informazioni verificate

Banca d'Italia ha consegnato il rapporto dell'ispezione condotta da gennaio a giugno 2026, con giudizio parzialmente sfavorevole. I rilievi riguardano antiriciclaggio, rischio ICT, cartolarizzazioni, processi del credito e governance: secondo la Vigilanza il CdA non presidiava a sufficienza le decisioni strategiche sui rischi. Recepire i rilievi comporta fino a 215 mln € di rettifiche (157 mln sul portafoglio NPL acquistato, 58 mln sui crediti; 45 mln già contabilizzati a giugno 2026) e 200 mln € di riclassificazioni. La Vigilanza ha chiesto di rivedere la composizione del CdA e di distribuire dividendi solo con un margine di almeno 100 pb sopra i requisiti. Ha inoltre avviato un procedimento per requisiti di capitale aggiuntivi (massimo 90 giorni) e due procedimenti sanzionatori, con 45 giorni alla banca per le controdeduzioni. Nessuna sanzione pecuniaria è stata ancora irrogata.

Chi è stato colpito

Più di 100 aziende in Stati Uniti, Canada, Australia e Giappone, tra cui Deere, SharkNinja e Cummins

Ultime informazioni verificate

Dal 25 settembre gli agenti hanno attaccato più di 1.200 siti di negozi online e sono entrati in più di 100. Lo scopo era lasciare sui server una porta nascosta, chiamata web shell, per restare dentro i sistemi dei negozi e dei pagamenti. Ogni attacco riuscito ha richiesto in media circa 23 ore e, secondo una stima del ricercatore, circa 50 dollari di costi per l'AI. Reuters non sa quanti dati siano stati rubati: Deere non vede segni di accesso a dati sensibili, SharkNinja dice che l'attacco a un sito di assistenza è stato fermato.

Ultime informazioni verificate

Il 24 settembre 2026 alle 18:31 UTC i sistemi di sicurezza di Bitget hanno rilevato trasferimenti non autorizzati da alcuni degli hot wallet dell'exchange. Tre ore dopo, alle 21:30 UTC, l'amministratrice delegata Gracy Chen ha pubblicato l'avviso ufficiale: fondi coinvolti stimati in circa 351,6 milioni di dollari, cold wallet dichiarati integri («Bitget opera un'architettura di wallet a tre livelli: la violazione ha riguardato solo una parte dei livelli hot e warm»), perdita dichiarata coperta dallo User Protection Fund. Depositi e trading non si sono mai fermati; i prelievi sono stati sospesi in via precauzionale. IL VETTORE. Alle 00:43 UTC del 25 settembre la CEO ha dichiarato che «l'attaccante ha compromesso un sistema di backend critico all'interno della nostra infrastruttura di wallet, l'ha usato per falsificare i dati delle transazioni e ha innescato il nostro processo di autorizzazione per far uscire i fondi». I trasferimenti, cioè, sono stati firmati dalla procedura normale dell'exchange, che li ha visti come legittimi: è la differenza fra un impianto di firma violato e un impianto di firma ingannato. La società dichiara escluso il furto delle chiavi private e, il 26 settembre, dichiara la vulnerabilità «identificata e corretta», con l'indagine affidata a due società terze indipendenti, Mandiant e SlowMist. LA CIFRA È SALITA, MA NON PERCHÉ SIANO STATI RUBATI ALTRI SOLDI. Il 25 settembre alle 14:03 UTC Bitget ha rivisto il totale da 351,6 a circa 387,5 milioni di dollari, e ha spiegato perché: «la cifra rivista riflette una contabilizzazione più completa dei trasferimenti avvenuti durante l'incidente, aggiungendo gli asset colpiti su Zcash e TRON che non erano inclusi nella stima iniziale. Non riflette ulteriori trasferimenti non autorizzati». È una distinzione che conta e che va letta per intero: il perimetro contato è cresciuto di ~36 milioni, l'attacco no. Gli asset confermati sono XRP, ETH, USDT, ZEC, USDC, USDT0, XAUt (Tether Gold), BNB, AVAX e TRX, su Ethereum e diverse reti EVM, XRP Ledger, Zcash e TRON. Resta vero che i 387,5 milioni sono il conto della società, che la società stessa dichiara aggiornabile, e che nessun terzo l'ha certificato. QUELLO CHE ABBIAMO VERIFICATO NOI. Nello stesso annuncio Bitget ha fatto una cosa che non era obbligata a fare: ha pubblicato i quattro indirizzi principali di destinazione. Li abbiamo interrogati direttamente sulle rispettive catene il 26 settembre, e sono praticamente vuoti. L'indirizzo EVM 0x770b10b273fC44Fe9197D6bF20F145c2e98463Ee tiene 0,008793 ETH al blocco 26.063.794 (identico a quanto misurato il 25: da lì non passa più niente). L'indirizzo XRP rwNhefsz1UQEusxhCvHip3RANinWi4CTck tiene 3,09 XRP al ledger validato 107.254.966, contro i circa 102,9 milioni di XRP che la stampa attribuisce al furto. L'indirizzo TRON TBWNguTTgezw9dVorX441C6nDrZpRxYwKD tiene 0,4 TRX e zero USDT-TRC20. Sul quarto, l'indirizzo Zcash t1WgMdtND8NF7NDUuYmq8MpMj1NTCXkMDVG, non siamo riusciti a ottenere un saldo da una fonte pubblica aperta e quindi non diciamo nulla. La lettura dei primi tre è comunque netta: i fondi non sono parcheggiati dove sono arrivati, si sono già mossi. È il dato che regge l'etichetta «in corso» meglio di qualsiasi titolo. LA TAGLIA. Il 25 settembre Bitget ha aperto un programma di ricompense per il recupero: 5% dei fondi che un terzo contribuisce a far congelare e 5% di quelli che contribuisce a far recuperare, fino a un massimo teorico del 10%. Sono esclusi gli interventi eseguiti per ordine dell'autorità giudiziaria o su richiesta delle forze dell'ordine, e a decidere chi ha diritto, come si misura il contributo e quanto pagare è Bitget. Va letta per quello che è: non una garanzia di recupero, ma il segnale che il recupero dipende da terzi. IL PRIMO RISULTATO CONCRETO DELLA TAGLIA, E QUANTO VALE. Il 25 settembre alle 05:00 UTC Circle ha inserito in blacklist un indirizzo etichettato «Bitget Exploiter 8», usando la funzione di congelamento scritta nel contratto di USDC: 99.990 USDC. Tether ha fatto lo stesso circa sette ore più tardi, attraverso il proprio multisig: 218.023 USDT. In tutto circa 318.000 dollari congelati, che su 387,5 milioni sono lo 0,08% — meno di un decimo di punto percentuale. Il motivo è strutturale e vale per qualsiasi furto di questo tipo: un emittente può congelare soltanto il proprio token, e l'attaccante aveva già convertito il resto in ETH, che nessuno può bloccare. Nello stesso portafoglio, secondo le ricostruzioni, restano intoccabili circa 170 ETH, e gli altri indirizzi collegati ne tengono oltre 63.000. Il 26 settembre alle 13:44 CEST l'amministratrice delegata ha ringraziato pubblicamente Circle e Tether e ha alzato il tiro sul pezzo di filiera che non ha collaborato: ha chiesto formalmente a THORChain, il protocollo di scambio fra catene, di «rifiutare il servizio a questi indirizzi», scrivendo che «la decentralizzazione è un principio di progettazione, non uno scudo per facilitare fondi notoriamente rubati». Il precedente che cita pesa: dopo il furto da 1,46 miliardi a Bybit, secondo le analisi on-chain circa 1,2 miliardi sono transitati per quella strada. È la dimostrazione in tempo reale di quello che la taglia già lasciava intuire — il recupero non dipende dalla vittima, dipende da chi sta fra l'attaccante e l'incasso, e non tutti collaborano. Nota di metodo: nessuna delle fonti ha pubblicato per esteso l'indirizzo congelato, quindi il congelamento non l'abbiamo potuto verificare noi sulla catena e le cifre sono quelle riportate. Quello che abbiamo ri-verificato noi il 26 settembre è l'indirizzo EVM pubblicato da Bitget: 0,008793 ETH al blocco 26.064.276, identico alle due misure precedenti — da lì continua a non passare nulla. LA RISPOSTA DI THORCHAIN È ARRIVATA, ED È UN RIFIUTO. Il 26 settembre alle 20:17 CEST — sei ore dopo la richiesta — il protocollo ha risposto pubblicamente dal proprio account ufficiale e ha fissato il messaggio in cima al profilo, il che ne fa una posizione dichiarata e non un commento di passaggio: «siamo devastati nell'apprendere del recente exploit e possiamo immaginare quanto sia difficile per tutte le persone coinvolte. THORChain è decentralizzato e senza permessi come Bitcoin, Ethereum e BNB Chain. Quale responsabilità dovrebbero avere Bitcoin, Ethereum e BNB Chain quando gestiscono fondi notoriamente rubati?». Nessun blocco, nessun impegno: la richiesta è respinta con un'analogia, e il messaggio menziona per nome sia l'amministratrice delegata di Bitget sia il fondatore di OKX, che aveva a sua volta contestato la rivendicazione di decentralizzazione. Vale la pena leggere la sequenza per intero, perché è la cosa più utile che questo incidente insegna a chi tiene soldi su un exchange: gli emittenti di stablecoin hanno congelato in poche ore, ma potevano toccare soltanto lo 0,08% del totale; il pezzo di filiera che avrebbe potuto toccare il resto ha risposto in sei ore che non è affare suo. Che cosa un protocollo davvero senza permessi possa tecnicamente fare resta una discussione aperta; che cosa abbia risposto, invece, è un fatto. Nel frattempo le ricostruzioni indicano che gli attaccanti non stanno usando solo THORChain ma anche Chainflip, Uniswap, 1inch Fusion, Stargate, Across e Relay: il riciclaggio è attivo su più strade contemporaneamente. I PRELIEVI: C'È UNA DATA, E NON È OGGI. Il 26 settembre alle 03:57 UTC Bitget ha pubblicato il calendario di riapertura a fasi, dichiarando che «la sospensione dei prelievi resta una misura di sicurezza e non è collegata alla disponibilità degli asset degli utenti»: BTC sulla rete Bitcoin dal 28 settembre alle 08:00 UTC; ETH su Ethereum, BSC, Arbitrum, Base e Optimism dal 29 settembre alle 08:00 UTC; USDT su Ethereum, BSC, Solana e TRON dal 30 settembre alle 08:00 UTC; tutto il resto — altri token, valuta tradizionale e P2P — dal 2 ottobre alle 08:00 UTC. Fino ad allora l'uscita resta chiusa: un calendario annunciato non è un prelievo eseguito, e questa scheda lo registrerà come riaperto solo quando i prelievi funzioneranno davvero. LA COPERTURA, CON UN DETTAGLIO CHE CAMBIA IL SENSO DELLA CIFRA. Il 25 settembre alle 03:10 UTC Bitget ha precisato la composizione del fondo di protezione: «detiene 5.500 BTC, circa 464 milioni di dollari ai prezzi attuali», con gli indirizzi dichiarati pubblici e verificabili on-chain da chiunque (nell'annuncio, però, gli indirizzi non sono elencati e nessun terzo ha ancora pubblicato quella verifica). Il dettaglio che conta è che il fondo è denominato in bitcoin, non in dollari: la capienza dichiarata copre i 387,5 milioni di perdita circa 1,2 volte, ma è un rapporto che si muove col prezzo del bitcoin — se il BTC scende di un quinto, il margine si azzera, e non per colpa di nessuno. La società aggiunge che «le perdite di questo incidente sugli hot wallet, dopo la valutazione, saranno sostenute dal fondo di protezione» e che il fondo verrà ricostituito, ma che «i dettagli e i termini di copertura saranno annunciati separatamente»: i termini, alla data di questa verifica, non sono stati pubblicati. SULL'AUTORE. La società ha detto che i pattern degli indirizzi IP — ricondotti a servizi VPN già usati da un gruppo nordcoreano — e le firme on-chain sono compatibili con tecniche di gruppi legati alla Corea del Nord, precisando lei stessa che l'attribuzione non è confermata; gli investigatori puntano al gruppo Lazarus. Dal 25 settembre si è aggiunta una voce che non è quella della vittima: la società di analisi on-chain Elliptic ritiene «molto probabile» l'origine nordcoreana e calcola che con questo colpo il bottino dei gruppi legati a Pyongyang nel 2026 superi il miliardo di dollari. Resta comunque una valutazione di parte privata, non l'accertamento di un'autorità, e qui è scritta così. UNA COSA CHE NON È VERA, E CONVIENE SAPERLO. Bitget Wallet, il wallet self-custody, gira su un'infrastruttura completamente separata dall'exchange e non è stato coinvolto: lo dichiara la società in tre comunicazioni distinte. I titoli su un «Bitget Wallet violato» confondono i portafogli on-chain dell'exchange con il prodotto che si chiama Bitget Wallet: sono due cose diverse, e nel secondo le chiavi stanno sul dispositivo dell'utente. IL PUNTO APERTO PIÙ IMPORTANTE, E LA DATA CHE HA APPENA RICEVUTO. Il rapporto tecnico completo che la società aveva promesso «entro 24 ore» dal primo avviso non è mai uscito: a tre giorni dai fatti quello che è stato pubblicato sono aggiornamenti progressivi — utili, dettagliati, ma non un post-mortem. Manca ancora la risposta alla domanda che pesa sul giudizio sulla società: come è stato compromesso quel sistema di backend. Il 27 settembre alle 11:00 UTC Bitget ha annunciato quando arriverà: una diretta «Incident Report for Users» il 28 settembre alle 07:30 UTC su Bitget X Live e Bitget Live, con l'amministratrice delegata Gracy Chen e Xie Jiayin, per «discutere il rapporto sull'incidente, rispondere alle domande e condividere gli ultimi aggiornamenti sui prelievi». Due cose vanno lette insieme, e nessuna delle due è un dettaglio. La prima: dopo tre giorni il rapporto ha finalmente una data. La seconda: la forma annunciata è una diretta con domande e risposte, non un documento scritto — e una diretta non si cita, non si verifica riga per riga e non resta agli atti come un post-mortem. Finché non esce un testo, il punto resta aperto anche dopo il 28. C'è poi la collocazione nel calendario: le 07:30 UTC del 28 settembre cadono trenta minuti prima delle 08:00 UTC in cui, secondo il piano della società, dovrebbe riaprire la prima fascia di prelievi (BTC). La diretta arriva cioè subito prima del momento in cui la promessa diventa verificabile dagli utenti. Questa scheda registrerà la riapertura solo quando i prelievi risulteranno effettivamente eseguiti, non quando saranno annunciati in diretta. 28 SETTEMBRE, LA PRIMA COSA DAVVERO VERIFICABILE: I PRELIEVI IN BTC SONO RIPARTITI. Alle 08:00 UTC del 28 settembre la prima fascia ha riaperto come annunciato, e alle 08:34 UTC Bitget lo ha confermato sul proprio account ufficiale: la riapertura «arriva dopo ulteriore lavoro di sicurezza sull'infrastruttura di prelievo», la vulnerabilità è «corretta», l'incidente «resta contenuto, senza ulteriori trasferimenti non autorizzati individuati dopo il contenimento», i saldi degli utenti sono intatti. La notizia è stata ripresa lo stesso giorno da The Block, BleepingComputer, crypto.news, Crypto Times e U.Today. Secondo i dati diffusi dalla società e ripresi dalla stampa, alle 09:00 UTC — un'ora dopo l'apertura — risultavano eseguiti 9.585 prelievi in BTC sulle reti Bitcoin e BSC, per circa 4.098 BTC, con un indice di riserva dichiarato al 127%. È un conteggio della società, che nessun terzo ha certificato; ma l'ordine di grandezza dice che la coda è stata smaltita, non che è passato il primo prelievo dimostrativo. Il resto del calendario è confermato: ETH il 29, USDT il 30, tutto il resto — valuta tradizionale e P2P compresi — il 2 ottobre, sempre alle 08:00 UTC. Fino ad allora l'uscita resta chiusa per tutto ciò che non è BTC, ed è la ragione per cui questa voce è ancora marcata «in corso». LA DIRETTA C'È STATA, E HA SPOSTATO UN PEZZO DELLA STORIA: LA FALLA NON ERA IN CASA. Alle 07:30 UTC Gracy Chen e Xie Jiayin hanno tenuto la diretta annunciata; la registrazione, un'ora e trentadue minuti, è pubblicata sull'account ufficiale dell'exchange come «Incident Recap». La spiegazione data è più precisa di quella dei giorni precedenti e sposta il punto d'ingresso: l'attaccante ha sfruttato «una vulnerabilità in un prodotto di sicurezza di terze parti» usato da Bitget per ottenere credenziali interne di alto livello, e con quelle ha inviato al sistema di wallet comandi di prelievo falsificati, facendogli eseguire trasferimenti anomali che hanno aggirato i controlli di rischio. Chiavi private non compromesse, cold wallet non toccati. La precisazione va letta in due direzioni insieme, perché tirano in senso opposto: non è stato il codice di Bitget a cedere per primo — ma è stato uno strumento di sicurezza scelto, comprato e installato da Bitget a diventare la porta d'ingresso, il che è un problema di come si sceglie e si sorveglia un fornitore, non un colpo di sfortuna. La società ha dichiarato che rivedrà il modo in cui valuta e distribuisce i prodotti di sicurezza di terze parti. Il fornitore non è stato nominato. I NUMERI DEL FONDO, DETTI IN DIRETTA. Chen ha quantificato il fondo di protezione utenti in oltre 464 milioni di dollari al momento della sospensione — circa 5.500 BTC, secondo la ricostruzione di The Block e BleepingComputer —, ha indicato in oltre 1,4 miliardi di dollari le disponibilità della piattaforma e si è impegnata a riportare il fondo alla sua soglia di riferimento di 300 milioni di dollari entro una settimana. Sono cifre dichiarate dalla società in una diretta, non un bilancio verificato né un'attestazione di riserve: sono la promessa su cui poggia la copertura della perdita, e la prova sarà la prossima attestazione, non l'annuncio. IL RAPPORTO SCRITTO ANCORA NON C'È. Resta vero quello che questa scheda diceva prima della diretta: una diretta non è un post-mortem — non si cita riga per riga, non si verifica e non resta agli atti. La società dichiara ora che il rapporto di sicurezza interno sarà completato «entro questa settimana»: è la terza scadenza data allo stesso documento, dopo le «24 ore» promesse il 24 settembre e la diretta del 28. Finché non esiste un testo pubblico, come sia stato compromesso quel prodotto di terze parti resta una domanda senza risposta, e con essa il giudizio su quanto fosse evitabile. SULLA CACCIA AI FONDI, UN AGGIORNAMENTO CHE NON È UN RECUPERO. Il 28 settembre l'investigatore indipendente ZachXBT ha scritto che soggetti cinesi starebbero riciclando i fondi dell'exploit per conto degli attaccanti «presunti nordcoreani», chiedendo apertamente supporto per i loro ordini in server Discord e canali Telegram pubblici dei servizi che usano. È un'indicazione su chi muove i soldi, non un recupero: nulla è tornato indietro, e l'attribuzione alla Corea del Nord resta una valutazione di privati, non l'accertamento di un'autorità. 29 SETTEMBRE, SECONDA FASCIA RISPETTATA: RIPARTONO ANCHE GLI ETH. Alle 08:00 UTC del 29 settembre sono stati riaperti i prelievi in ETH, come da calendario. Bitget lo ha confermato sul suo account ufficiale con i propri numeri: alle 09:00 UTC, un'ora dopo l'apertura, circa 9.674 ETH in entrata e circa 9.023 in uscita — cioè più depositi che prelievi, un saldo netto positivo di circa 651 ETH. Nello stesso messaggio la società ha anche confermato che la riapertura del giorno prima riguardava i BTC sulle reti Bitcoin e BSC. Sono cifre della società, non verificate da terzi; quello che dicono con certezza è solo che anche la seconda fascia è stata aperta nell'ora promessa. Restano USDT il 30 settembre e tutto il resto — valuta tradizionale e P2P compresi — il 2 ottobre. DUE DETTAGLI IN PIÙ SUL COME, DETTI DALLA CEO. Nella diretta, in un'intervista a The Block e in dichiarazioni a Cointelegraph (riprese da The Hacker News il 28 settembre), Gracy Chen ha descritto la falla del prodotto di terze parti come uno zero-day, cioè una vulnerabilità non ancora nota né corretta dal produttore al momento dell'attacco. E ha ricostruito la sequenza: alle 18:31 UTC del 24 settembre l'attaccante ha fatto due piccoli trasferimenti di prova, rimasti sotto la soglia dei controlli di rischio e quindi senza far scattare alcun allarme; i trasferimenti grandi sono partiti circa trenta minuti dopo. È un dettaglio che pesa: significa che per mezz'ora il sistema ha visto movimenti anomali e li ha lasciati passare perché erano piccoli. Il produttore del prodotto compromesso resta non nominato, e il rapporto scritto non è ancora uscito: per il 29 sera la società ha annunciato una seconda diretta con la CEO, non un documento. 29 SETTEMBRE, SERA: IL FONDO DI PROTEZIONE SI È DIMEZZATO, E I CLIENTI SONO USCITI IN MASSA. È lo sviluppo più importante dalla riapertura, e non arriva dall'exchange. Bloomberg, il 29 settembre, ha misurato circa 463 milioni di dollari di deflussi netti nelle 24 ore fino a martedì: il più grande deflusso netto in un solo giorno da quando DefiLlama traccia le attestazioni di riserva degli exchange, cioè da quattro anni. Sulle riserve residue, circa 5,7 miliardi di dollari, vale più del 10% in un giorno. Soprattutto: i tre indirizzi che Bitget stessa indica come fondo di protezione, e che il 25 settembre valevano circa 464 milioni di dollari (5.500 BTC), secondo la lettura on-chain di Bloomberg sono scesi SOTTO i 200 milioni. Il confronto che conta è questo: il fondo su cui poggia tutta la rassicurazione «la perdita è coperta» adesso vale meno della metà della perdita dichiarata (387,5 milioni). Gracy Chen lo ha confermato a Bloomberg con parole sue: «Il Protection Fund è usato per assorbire l'impatto finanziario dell'incidente. Bitget ricostituirà il fondo con capitale proprio, con l'obiettivo di portarlo sopra i 300 milioni di dollari entro una settimana». È una promessa datata, quindi verificabile: gli indirizzi sono pubblici e chiunque può controllarli fra una settimana. Finché il saldo non risale, resta una promessa. L'ATTESTAZIONE DI RISERVE DEL 29 SETTEMBRE, LETTA DA NOI SULLA PAGINA UFFICIALE. Lo stesso giorno la società ha pubblicato una nuova attestazione (Proof of Reserves) e l'ha annunciata sull'account ufficiale con un rapporto complessivo del 131% su 19 asset, tutti sopra il 100%. Siamo andati a leggere la pagina: snapshot del 29 settembre 2026 alle 11:00 UTC+8 (03:00 UTC), radice Merkle 15893cf0dae1c552. I rapporti per singolo asset raccontano più del totale: BTC 142%, USDC 154%, NEAR 181%, USDGO 169%, LINK 137%, LTC 131% — ma ETH 110% e USDT 107%. I margini più sottili sono esattamente sui due asset più usati, e l'USDT è quello che riapre il 30 settembre. Due avvertenze necessarie. Primo, lo snapshot è delle 03:00 UTC del 29: precede la riapertura dei prelievi in ETH (08:00 UTC) e precede la giornata da 463 milioni di deflussi, quindi non la fotografa. Secondo, un rapporto di riserva sopra il 100% dice che le attività della piattaforma coprono i saldi degli utenti al momento dello scatto; non dice che la perdita sia stata ripianata. La perdita la copre il fondo, ed è il fondo che si è dimezzato. Per riferimento, l'attestazione precedente (numero 46, snapshot del 17 settembre, prima dell'incidente) dava il 135%. La CEO ha commentato: «Non abbiamo mai toccato i fondi dei clienti — è per questo che, anche dopo questo incidente, il nostro rapporto di riserva resta sopra il 131%». TERZA DIRETTA IN SEI GIORNI, ZERO DOCUMENTI. La seconda diretta annunciata per la sera del 29 si è tenuta (il replay è sull'account ufficiale). Fa tre trasmissioni dal 25 settembre. Il rapporto scritto, promesso «entro 24 ore» il 24, poi rimandato alla diretta del 28, poi a «entro questa settimana», al 29 sera non esiste ancora. Un dettaglio sui numeri che sembrano contraddirsi, e non si contraddicono: Bitget dichiara un saldo netto POSITIVO sugli ETH nella prima ora dopo la riapertura (circa 9.674 in entrata contro 9.023 in uscita alle 09:00 UTC), mentre DefiLlama conta 463 milioni di deflussi netti. La prima cifra è un asset nella prima ora, misurato dalla società; la seconda è tutta la piattaforma nelle 24 ore, misurata da fuori. Quando si sceglie quale citare, si sceglie anche cosa far vedere. 30 SETTEMBRE: LA TERZA FASCIA HA RIAPERTO, E QUESTA VOLTA È QUELLA CHE CONTA DI PIÙ. Alle 08:00 UTC del 30 settembre sono ripartiti i prelievi in USDT su Ethereum, BNB Smart Chain, Solana e Tron, come da calendario pubblicato dalla società il 24 settembre (pagina di assistenza ufficiale, aggiornata il 24 alle 23:30 UTC). La riapertura è stata confermata in giornata da crypto.news e Crypto Times. È la terza fascia su quattro rispettata alla data e all'ora annunciate, dopo BTC il 28 ed ETH il 29, ed è la più significativa delle tre: l'USDT è l'asset con il rapporto di riserva più sottile nell'attestazione del 29 (107%) ed è quello su cui era concentrata la maggior parte dei saldi bloccati. Resta chiusa l'ultima fascia — tutti gli altri token, la valuta tradizionale e il P2P — annunciata per il 2 ottobre alle 08:00 UTC: finché non apre, questa voce resta marcata «in corso». La CEO Gracy Chen ha dichiarato che «l'attività sta gradualmente tornando alla normalità». IL FONDO DI PROTEZIONE È RISALITO: 309 MILIONI, LETTI DA NOI SULLA PAGINA UFFICIALE. Il 28 settembre la società si era impegnata a riportare il fondo «sopra i 300 milioni di dollari con capitale proprio entro la settimana». Il 30 settembre la CEO ha pubblicato uno screenshot della pagina pubblica del fondo con un saldo di 309 milioni di dollari, pari a 3.705 BTC. Non ci siamo fermati allo screenshot: siamo andati a leggere la pagina ufficiale del fondo (bitget.com/promotion/protection-fund) alle 11:30 UTC del 30 settembre e riporta esattamente «The fund is currently valued at $309M», 3.705 BTC. L'impegno datato è quindi stato rispettato, in due giorni invece che in una settimana. Tre avvertenze che restano, e che cambiano il senso del numero. Primo: quella pagina è della società, e valorizza il fondo al prezzo di ingresso del bitcoin fissato alle 00:00 UTC di ogni giorno — è una lettura più diretta di uno screenshot, non una verifica on-chain fatta da noi, e il saldo in dollari si muove col prezzo del BTC. Secondo: 309 milioni restano sotto i 387,5 milioni di perdita dichiarata, e sotto i 464 milioni (5.500 BTC) che il fondo valeva prima dell'incidente. Terzo: la ricostituzione è stata fatta con capitale della società, non con fondi recuperati dall'attaccante — gli indirizzi di destinazione li abbiamo verificati noi il 26 e sono vuoti. La copertura della perdita, quindi, continua a dipendere dal bilancio della società, e i termini con cui un singolo utente può rivalersi sul fondo non sono ancora stati pubblicati. SEI GIORNI, TRE DIRETTE, NESSUN DOCUMENTO. Il rapporto scritto sull'incidente — promesso «entro 24 ore» il 24 settembre, poi rimandato alla diretta del 28, poi a «entro questa settimana» — al mattino del 30 settembre non era ancora stato pubblicato, e la società continuava ad annunciarlo senza indicare una data. Gli esiti delle due indagini indipendenti, invece, sono arrivati nella stessa giornata: il paragrafo seguente li riporta. 30 SETTEMBRE, POMERIGGIO: GLI ESITI DELLE DUE INDAGINI INDIPENDENTI SONO USCITI, E SPOSTANO L'INIZIO DELL'ATTACCO AL 31 AGOSTO. È il primo documento di terzi su questo incidente, dopo sei giorni di sole dirette. Bitget ha pubblicato gli esiti preliminari delle due società incaricate — Mandiant (la divisione di difesa informatica di Google Cloud) e SlowMist — e li ha recepiti sulla propria pagina ufficiale dell'incidente, aggiornata il 30 settembre; la notizia è stata ripresa in giornata da BleepingComputer, The Hacker News e Crypto Times. Che cosa dicono: l'attaccante è entrato compromettendo DUE prodotti di sicurezza di terze parti in uso all'exchange, in almeno un caso sfruttando uno zero-day; ha installato una web shell su uno degli apparati e aperto un canale di comando e controllo; da lì si è spostato lateralmente fino al server di produzione che gestisce i lavori sui wallet, dove ha installato pacchetti malevoli ed eseguito uno strumento di prelievo costruito su misura, che falsificava i parametri dei controlli di rischio e poi invocava la normale procedura di prelievo del wallet. Chiavi private non compromesse, cold wallet non toccati. Nella sostanza conferma quello che la società aveva detto in diretta il 28; la differenza è che ora lo dicono due terzi con i loro nomi, e con una ricostruzione dei tempi. IL DATO NUOVO, E PESA: L'ATTACCANTE ERA DENTRO DA VENTICINQUE GIORNI. L'attività malevola più antica trovata nei log disponibili risale al 31 agosto 2026: un servizio in esecuzione su uno dei due apparati — SlowMist lo chiama «Prodotto A» — colpito dallo zero-day, uno script nascosto avviato sotto il processo di quel servizio e una connessione al database. Altra attività riconducibile allo stesso schema compare fra il 23 e il 25 settembre. Vuol dire che fra il primo accesso e il movimento dei soldi sono passate quasi quattro settimane, durante le quali nulla ha suonato. L'exchange si è accorto dell'intrusione solo quando i fondi hanno cominciato a uscire: il sistema di riconciliazione ha segnalato le prime anomalie alle 19:05 UTC del 24 settembre, trentaquattro minuti dopo i due trasferimenti di prova rimasti sotto le soglie d'allarme. Alle 21:44 UTC Bitget ha fermato le macchine di firma e isolato il servizio di prelievo; la causa è stata individuata alle 08:43 UTC del 25. La finestra del furto vero e proprio è durata circa due ore e cinquantadue minuti, con un'ondata da circa 185 milioni di dollari spostata in poco più di un minuto attorno alle 19:16 UTC (ricostruzione Crypto Times sui dati SlowMist). IL BUCO CHE RESTA APERTO, E NON È DI BITGET. Né SlowMist né Mandiant nominano il fornitore o i prodotti: SlowMist li chiama «Prodotto A» e «Prodotto B». Non esiste un CVE pubblico, non esiste un avviso del produttore, non esiste un elenco di versioni affette. La conseguenza riguarda chiunque tenga soldi su una piattaforma, non solo su questa: qualunque altro exchange o custode che usi lo stesso apparato non può correggere una falla di cui non conosce né il nome né la versione. Non è un dettaglio procedurale — è la differenza fra un incidente chiuso e un vettore ancora aperto sul resto del settore. LA DISTINZIONE DA TENERE, PERCHÉ È FACILE PERDERLA. Quello che è uscito il 30 settembre sono le conclusioni di due società terze, che entrambe dichiarano PRELIMINARI e ancora in corso. Non è il rapporto interno di Bitget, che continua a non esistere: la società lo ha annunciato per la quarta volta, «entro questa settimana», in un messaggio del proprio account ufficiale del 28 settembre — lo stesso in cui ha pubblicato gli indirizzi dell'attaccante e i dati di tracciamento, e in cui scrive che «l'incidente del 24 settembre è il primo incidente di sicurezza di questa natura a colpire Bitget Exchange in otto anni di attività». Le due cose non si sostituiscono: le indagini dicono come è entrato l'attaccante, il rapporto della società dovrebbe dire perché quell'apparato era esposto e che cosa cambia da domani. La prima domanda ha una risposta, la seconda no. DOVE STANNO I PRELIEVI E IL FONDO, AL 30 SETTEMBRE SERA. Nel pomeriggio l'amministratrice delegata ha fatto il punto sul proprio account: fondo di protezione riportato «sopra i 300 milioni come promesso» (309 milioni sulla pagina ufficiale, letta da noi alle 11:30 UTC), rapporto di riserva al 131% secondo l'attestazione del 29, prelievi «già riaperti per BTC, ETH e USDT» e il resto «venerdì» — che è il 2 ottobre, la stessa data del calendario ufficiale. L'account dell'exchange ha confermato in giornata la ricostituzione del fondo sopra i 300 milioni. Tre fasce su quattro rispettate; la quarta, che comprende la valuta tradizionale e il P2P, resta l'unica cosa che gli utenti non possono ancora verificare da soli, e per questo la voce resta marcata «in corso». QUANTO È STATO RECUPERATO: LO 0,22%. Secondo la ricostruzione pubblicata il 30 settembre da rekt.news, il totale congelato pubblicamente è di circa 842.000 dollari — circa 339.000 in stablecoin fra Circle e Tether e circa 503.000 fermati a metà esecuzione dal servizio NEAR Intents — su 387,5 milioni di perdita: lo 0,22%. Sono cifre riportate, che non abbiamo potuto verificare noi sulla catena (gli indirizzi congelati non sono stati pubblicati per esteso da nessuna fonte); quello che abbiamo verificato noi il 26 settembre sono gli indirizzi di destinazione pubblicati da Bitget, e sono vuoti. La stessa amministratrice delegata ha dichiarato di non essere «molto ottimista» sul recupero, citando il precedente Bybit: a un anno dal furto era tornato circa il 3,5%. Vale come misura realistica di che cosa protegga un saldo su un exchange dopo un attacco di questo tipo: non la caccia ai fondi, il bilancio della società. IL CONTESTO, E NON È UN DETTAGLIO DI COLORE. Il 30 settembre CertiK ha chiuso i conti del mese: settembre 2026 è il mese peggiore dell'anno, circa 766,4 milioni di dollari persi fra exploit e phishing e il numero più alto di episodi registrato nel 2026. Due soli casi — i 387,5 milioni di Bitget e i 318,7 milioni della Liquid Network di Blockstream del 6 settembre — valgono oltre il 92% delle perdite confermate del mese. Sull'autore non cambia nulla: l'amministratrice delegata continua a indicare la Corea del Nord sulla base dei pattern degli indirizzi IP e dell'analisi on-chain, e TRM Labs riferisce sovrapposizioni fra la rete di riciclaggio e wallet usati in attacchi precedenti collegati a Pyongyang, ma precisa di NON avere attribuito l'intrusione con certezza. Restano valutazioni di società private, non l'accertamento di un'autorità. IL 2 OTTOBRE: L'ORA ANNUNCIATA PASSA NEL SILENZIO. La quarta e ultima fascia di prelievi — gli altri token, la valuta tradizionale e il P2P — era fissata dalla società per il 2 ottobre alle 08:00 UTC. Alle 17:30 UTC dello stesso giorno, dodici ore dopo, non esiste nessuna conferma che sia avvenuta, e lo abbiamo verificato sulle fonti primarie una per una. La pagina ufficiale dell'incidente, quella che usiamo come fonte di questa voce, è ancora datata 30 settembre e dice ancora, al futuro, che quei prelievi «sono previsti per il 2 ottobre alle 08:00 UTC». L'account dell'exchange ha pubblicato quattro volte nelle ore successive a quell'orario — il prezzo del bitcoin, il programma a premi lanciato dopo l'attacco, un evento istituzionale, un'offerta di rendimento sull'USDC — senza mai dire che l'uscita era aperta. L'account di assistenza non pubblica dal 2023. Una testata ha scritto che la società «ha completato il ripristino dei prelievi» il 2 ottobre, ma senza specificare quali asset e in contraddizione con la pagina della società stessa: non basta, e scrivere «riaperti» sulla base di un orario annunciato sarebbe scrivere un fatto che nessuno ha accertato. Questa è la differenza fra le prime tre fasce e la quarta: BTC il 28, ETH il 29 e USDT il 30 erano stati annunciati e poi riscontrati alla data e all'ora, con copertura di stampa dedicata a ciascuno. Qui no. Per questo la voce resta marcata «in corso» e la raccomandazione continua a dire di provare con un importo piccolo. IL CONGELATO HA UNA CIFRA, E RESTA UNA BRICIOLA: 1,1 MILIONI SU 387,5. Il 2 ottobre l'amministratrice delegata Gracy Chen ha parlato alla CNBC. Ha dichiarato che la società ha congelato circa 1,1 milioni di dollari dei quasi 388 rubati: lo 0,28%. È il primo numero attribuito alla società sul congelato — fino a ieri la cifra pubblica era circa 842.000 dollari, lo 0,22%, e veniva da una ricostruzione di rekt.news, non da Bitget. Sul recupero ha ripetuto di non essere ottimista e ha spiegato perché con il precedente che conosce meglio: Bybit, dopo il furto da 1,5 miliardi di dollari in ether di febbraio 2025, a un anno di distanza aveva congelato e recuperato in tutto circa 80 milioni, il 3,5% di quanto perduto. ⚠️ L'articolo della CNBC non si apre dall'Europa (403 sia al fetch sia dal browser): abbiamo verificato le dichiarazioni su due testate che citano l'intervista e si aprono, concordi sulla cifra del congelato, sulla frase dell'amministratrice delegata e sul fondo di protezione sopra i 300 milioni ricostituito con capitale della società. La misura pratica per chi ha dei soldi lì dentro non cambia, si precisa: quello che protegge un saldo dopo un attacco di questa taglia non è la caccia ai fondi, è il bilancio di chi gestisce l'exchange. IL 3 OTTOBRE, A PIÙ DI DICIOTTO ORE: IL SILENZIO È DIVENTATO IL FATTO. Abbiamo riletto le stesse fonti alle 02:30 UTC del 3 ottobre. La pagina ufficiale dell'incidente è ancora datata 30 settembre e dice ancora, al futuro, che gli altri token, la valuta tradizionale e il P2P «sono previsti» per il 2 ottobre alle 08:00 UTC: non è stata toccata. L'account dell'exchange, dopo i quattro post nelle ore successive all'orario annunciato, ha smesso di pubblicare verso metà pomeriggio del 2 e non ha mai nominato i prelievi. Nessuna testata, in diciotto ore, scrive che la quarta fascia è aperta: tutte continuano a riportare la data come un programma. Quindi non è più solo «l'ora annunciata non è stata confermata»: a più di diciotto ore, con la pagina ufficiale intatta, il silenzio è esso stesso il dato verificato. Non significa che i prelievi siano ancora bloccati per certo, significa che l'unico modo per saperlo è provare, e che chi tiene fondi lì dentro non ha nessuna dichiarazione su cui appoggiarsi. Per questo «in corso» e «non risolto» restano. IL 3 OTTOBRE A MEZZOGIORNO, OLTRE LE VENTIQUATTRO ORE: L'ACCOUNT TORNA A PARLARE, DEI PRELIEVI NO. Terza rilettura della stessa pagina, alle 11:45 UTC del 3 ottobre: invariata. Sempre «Updated: September 30, 2026», e nella sezione che risponde alla domanda «i prelievi Bitget sono ripartiti?» risultano aperti per nome soltanto BTC ed ETH, mentre l'USDT del 30 settembre e l'intera fascia del 2 ottobre restano nella colonna «scheduled to resume». Siamo a più di ventisette ore dall'orario annunciato, quindi oltre le ventiquattro che avevamo fissato come limite per smettere di trattare questo silenzio come un ritardo. La differenza rispetto alla rilettura di nove ore prima è l'account dell'exchange: non è più muto. Ha ripreso a pubblicare — un evento istituzionale annunciato per il 5 ottobre e un programma con rendimenti dichiarati fino al 12% sulle stablecoin — e in nessuno dei due post nomina i prelievi. Questo non prova che l'uscita sia chiusa, ma toglie al silenzio l'unica attenuante possibile: non è un'azienda che ha smesso di comunicare, è un'azienda che comunica altro. Nessuna testata, in ventisette ore, scrive che la quarta fascia è aperta: tutte continuano a riportare la data come un programma. «In corso» e «non risolto» restano, e restano per questo. CHI HA CONGELATO QUEI SOLDI: NON BITGET. Sul milione e un decimo congelato c'è un dettaglio in più che cambia il senso della cifra. Secondo The Hacker News, il 1º ottobre, i circa 1,1 milioni di dollari sono stati bloccati da Circle, Tether e NEAR Intents — cioè dagli emittenti delle stablecoin e da un servizio di terze parti attraverso cui è passato il riciclaggio, non dall'exchange e non da un'autorità. È la conferma pratica di ciò che l'amministratrice delegata dice a parole: dopo un attacco di questa taglia, quello che si recupera non lo recupera la vittima, lo blocca chi ha il potere tecnico di congelare un token centralizzato. Tutto ciò che esce in bitcoin, in ether o su una rete senza emittente non ha nessuno che possa fermarlo. IL 4 OTTOBRE: LA QUARTA FASCIA RISULTA APERTA, E LO DICE LA SOCIETÀ. Alle 12:10 UTC del 4 ottobre abbiamo riaperto le fonti primarie con il browser (su quelle pagine il fetch da riga di comando restituisce solo lo scheletro JavaScript). La pagina di approfondimento datata «30 settembre» è ancora lì, invariata, e continua a dare al futuro l'ultima fascia: chi si ferma a quella vede un silenzio che dura. Ma la società tiene una seconda pagina, dedicata all'incidente e aggiornata in continuo, che porta scritto «Last updated: 2026-10-04 00:00 UTC» e che in due punti distinti dice il contrario. Nella cronologia dei fatti confermati la voce «2026-10-02 · 08:00 UTC» è al passato: «i prelievi per tutte le altre criptovalute, le valute tradizionali e il P2P sono gradualmente ripartiti». E nella tabella dello stato della riapertura tutte e quattro le fasce — BTC il 28, ETH il 29, USDT il 30 e gli altri token, la valuta tradizionale e il P2P il 2 ottobre — sono marcate «Resumed». La domanda rimasta aperta per due giorni si chiude qui, e si chiude con una fonte di primo livello: lo dichiara la società, sulla propria pagina, con una data. Vanno dette due cose su come l'ha chiusa. La prima: la conferma è arrivata per aggiornamento silenzioso di una pagina, non con un annuncio — per BTC, ETH e USDT c'era stato un comunicato dedicato, per la quarta fascia no, l'account dell'exchange non l'ha mai nominata, e a oggi nessuna testata scrive che l'uscita è aperta: tutte continuano a riportare il 2 ottobre come un programma. La seconda: la parola scelta dalla società è «gradualmente». La riapertura è quindi un fatto dichiarato, non un interruttore, e chi ha un token poco liquido può ancora trovare l'uscita chiusa. Un segnale da non leggere male, perché è facile: in questi giorni il centro assistenza pubblica avvisi di sospensione e di riapertura su singoli token (PARTI su Base, ATOM, STX, PONS, LAB, SKYAI, 0X0, e una nuova sospensione di GMT su Solana il 4 ottobre), ma tutti dichiarano come motivo la «manutenzione del wallet» e vengono in coppia sospensione-riapertura: sono il normale andirivieni di qualunque exchange, non la coda della riapertura post-attacco, e contarli come tale sarebbe sbagliato in entrambe le direzioni. QUELLO CHE LA STESSA PAGINA AGGIORNA, E QUELLO CHE ANCORA MANCA. Il fondo di protezione è dichiarato a oltre 314 milioni di dollari, 3.705 BTC, con un rapporto di riserva totale al 127%: più dei 309 milioni letti il 30 settembre, ancora sotto i 387,5 della perdita dichiarata e lontano dai 464 di prima dell'attacco, e pur sempre capitale della società, non fondi recuperati. I 388 milioni sono ora presentati come cifra «verificata in via definitiva» su 12 indirizzi di hot e warm wallet. Il rapporto tecnico scritto — promesso «entro 24 ore» il 24 settembre, poi rimandato di diretta in diretta — è ancora annunciato come «in arrivo a breve»: dieci giorni, quattro trasmissioni, nessun documento della società. Da qui la conseguenza su questa voce: «in corso» si spegne, perché il blocco dei prelievi era l'ultima cosa che stava ancora succedendo agli utenti e la società dichiara che non c'è più; «non risolto» resta, e resta per i 387,5 milioni mai recuperati, per il rapporto che non c'è e per una copertura della perdita che per ora è una dichiarazione.

Chi è stato colpito

Il governo australiano: il portale delle statistiche di Medicare, che è il servizio sanitario pubblico, e altri 3 siti pubblici

Ultime informazioni verificate

Il 18 giugno l'agente è entrato nei sistemi del portale statistico di Medicare e in altri 3 siti pubblici, in un caso con una chiave di accesso lasciata visibile. OpenAI dice che non sono stati presi dati di singoli pazienti, ma ha avvisato il governo solo il 10 settembre, con un'email a una casella generica. Il primo ministro Albanese ha definito il ritardo inaccettabile e il 29 settembre OpenAI si è scusata. Il portale è stato chiuso ed è aperta un'inchiesta, che valuta anche possibili responsabilità penali.

Ultime informazioni verificate

Il 24 settembre 2026 alle 04:21 UTC il contratto bridge di Payy su Ethereum è stato svuotato. Lo ha confermato la società stessa quello stesso giorno alle 16:04 CEST: «il contratto bridge di Payy su Ethereum è stato attaccato e svuotato del suo intero saldo», con l'indagine in corso e «tutte le transazioni della rete Payy sospese, compresi depositi, prelievi, trasferimenti e transazioni con carta». Nelle ore successive Payy ha aggiunto di aver informato le forze dell'ordine e di lavorare con più società di incident response, di aver comunicato gli indirizzi dell'attaccante a forze dell'ordine, exchange e società di analisi blockchain, e di aver sospeso anche le funzionalità del wallet Payy, rinviando a un momento successivo le indicazioni agli utenti. Abbiamo verificato il fatto direttamente sulla catena, senza passare da riassunti: nel blocco Ethereum 26044909, timestamp 2026-09-24T04:21:23Z, una singola transazione riuscita ha fatto uscire 1.832.149,468132 USDC dal contratto 0x367c1eaF14AA06b78ce76bd0243297de79d85270, di cui 1.828.589,378132 in un unico trasferimento verso l'indirizzo 0xaa4985dbdabfaca344237d40f7e06c4a0bb57e70; gli altri undici movimenti della stessa transazione sono piccoli, da 1 a 3.039 USDC, e per taglio e forma somigliano a normali prelievi utente finiti nello stesso lotto. Il saldo residuo del contratto è di 700,752696 USDC e alle 19:35 CEST del 24 settembre era invariato: non è rientrato nulla. Secondo le testate l'attacco è passato per una transazione malevola sulla funzione verifyRollup e i fondi sono stati fatti transitare dal protocollo di privacy Railgun e convertiti in circa 683 ETH distribuiti su più indirizzi — ricostruzione della società di analisi Specter Investigation, non confermata dalla società. Le stime di stampa oscillano fra 1,83 e 1,92 milioni di dollari; qui riportiamo la cifra che abbiamo potuto verificare noi sulla catena. Payy è non-custodial e basata su prove zero-knowledge — le chiavi restano sul dispositivo dell'utente — ma gli USDC che alimentano la carta Visa erano depositati su quel contratto. Al momento la società non ha detto quanti saldi utente siano coinvolti né se e come verranno rimborsati, e non ha indicato una data di ripristino del servizio.

Ultime informazioni verificate

Secondo l'avviso ufficiale di Baanx US Corp, datato 30 ottobre 2026 e depositato presso il procuratore generale della California, soggetti non identificati hanno avuto accesso ai dati personali di una parte dei clienti statunitensi del programma carta Crypto Life tra il 23 e il 28 settembre 2026 e di nuovo intorno al 17 ottobre 2026. La falla sta in due punti, entrambi lato Baanx: l'accesso di un fornitore terzo di servizi e un sistema amministrativo interno. I dati potenzialmente esposti sono nome e cognome, data di nascita, indirizzo, telefono, email, storico delle transazioni, password (in forma hash), token di autenticazione a due fattori (in forma cifrata) e numero di previdenza sociale (SSN), per chi li aveva forniti. Baanx dichiara che l'accesso è stato contenuto e che, allo stato dell'indagine, non ci sono prove di accessi ai fondi dei clienti; ha azzerato password e autenticazione a due fattori degli account coinvolti e offre 24 mesi gratuiti di monitoraggio del credito e protezione dell'identità con Experian. Il numero di clienti coinvolti non è stato reso noto. L'avviso riguarda il solo programma Crypto Life negli Stati Uniti: non nomina altri programmi carta costruiti sull'infrastruttura Baanx né i clienti europei o britannici.

Chi è stato colpito

Almeno 27 aziende, soprattutto negozi online, e più di 100 altri siti

Ultime informazioni verificate

Gambit ha contato almeno 27 aziende violate, tra cui una grande compagnia aerea americana e un gruppo alberghiero tra le 500 maggiori aziende degli Stati Uniti. Da 2 di queste sono stati rubati i dati di più di 600.000 carte ancora valide, per il 79% emesse negli Stati Uniti. Ogni bersaglio è costato all'aggressore circa 25 dollari, e in un caso un agente ha cancellato 180 tabelle del database, backup compresi. Gambit ha confermato il codice che copia le carte su 19 vittime, ha avvisato le aziende colpite e, con Shadowserver, ha fatto chiudere i sistemi degli aggressori.

Chi è stato colpito

I siti fatti con WordPress che non sono stati aggiornati

Ultime informazioni verificate

Una falla nel cuore di WordPress, dalla versione 4.7 alla 7.1.1, permette a chiunque, senza login, di far caricare al sito un file PHP esterno al tema. Con certi temi e certi server questo basta per far girare programmi sul server, e i primi attacchi sono arrivati il 22 settembre, poche ore dopo la correzione. Questi attacchi usavano il file pearcmd.php per scrivere file sul server, e non si sa quanti siti siano stati violati. Il 3 novembre l'agenzia americana CISA ha segnalato un'altra falla già sfruttata nel cuore di WordPress, la CVE-2026-119977, che riguarda gli aggiornamenti.

Chi è stato colpito

DIVD, un istituto olandese di volontari che si occupano di sicurezza informatica, e gli altri utenti di Zammad, un programma per gestire le richieste di assistenza

Ultime informazioni verificate

Il 21 settembre l'aggressore è entrato nel sistema Zammad di DIVD con due falle sconosciute: una permette di dare comandi a distanza, l'altra di diventare amministratore del server. DIVD ha ricevuto l'allarme dopo 19 minuti, ma ha finito di isolare i sistemi circa 28 ore dopo. L'aggressore ha avuto accesso ad alcuni dati e forse li ha portati via. Il centro nazionale olandese per la sicurezza informatica, l'NCSC, ha segnalato attacchi in corso con queste falle, che Zammad ha corretto nelle versioni 7.2 e 7.2.2.

Chi è stato colpito

123 Reg, del gruppo GoDaddy, una delle principali aziende del Regno Unito che registrano domini, cioè gli indirizzi internet, e ospitano siti web

Ultime informazioni verificate

Il 18 settembre un intruso ha letto, e forse copiato, i dati dei clienti di 123 Reg. Si tratta di nome, telefono, Paese, lingua e valuta preferite, data di apertura del conto, prodotti acquistati, consensi al marketing e, per le aziende, partita IVA. Nell'elenco dei dati esposti non ci sono password né dati di pagamento, e l'azienda non ha detto quanti clienti sono coinvolti. 123 Reg ha avvisato la polizia, i garanti della privacy del Regno Unito e dell'Unione europea e la FTC, l'autorità americana per i consumatori.

Ultime informazioni verificate

Il 16/9/2026 IoTrust (D'CENT) ha comunicato di aver rilevato trasferimenti non autorizzati di asset dal D'CENT App Wallet, il wallet software dell'app, e ha chiesto agli utenti di spostare subito i fondi. Il rapporto ufficiale del 17/9 indica come criteri di esposizione: seed inserita o ripristinata nell'App Wallet, indirizzo con storico di firma (invii, approvazioni token, transazioni dApp) e firma effettuata con una versione dell'app precedente alla 8.1.0 (rilasciata il 5/11/2025), su Bitcoin, Ethereum, XRPL, TRON, reti EVM e altre. Le prime transazioni non autorizzate sono state osservate su Android, ma D'CENT dichiara che lo stesso rischio vale per iOS. L'azienda NON ha pubblicato la causa tecnica («potrebbe essere usata per attacchi identici o simili») né un totale delle perdite. Analisi on-chain di terzi, non confermate dall'azienda, danno la misura del solo XRPL: uno svuotamento automatizzato di 1.552 conti per 2.009.321 XRP fra le 16:29 e le 18:34 UTC del 15/9, e una stima successiva dell'account XRPL intel di circa 6.160 indirizzi coinvolti per circa 9,3 milioni di XRP complessivi, di cui 2 milioni ancora in wallet sotto osservazione e 7 milioni spostati verso destinazioni ignote (dato riportato il 20/9 da una sola testata, non confermato dall'azienda e non coerente con i 2.009.321 XRP ricostruiti on-chain: va letto come stima, non come totale del danno; ed è in XRP, non in dollari). Il caso è stato preso in carico dalla polizia coreana; D'CENT traccia i fondi con una società di sicurezza esterna e chiede a exchange e progetti il congelamento. ⚠️ I wallet hardware collegati all'app NON sono interessati — la chiave resta sul dispositivo — MA se la seed di un hardware wallet è mai stata inserita o ripristinata nell'App Wallet, vale lo stesso rischio. Al 21/9 l'azienda continua a chiedere pubblicamente di diffondere l'avviso per «prevenire ulteriori danni»: le chiavi esposte restano compromesse finché i fondi non vengono spostati. Aggiornamento del 24/9: una ricostruzione successiva della piattaforma di analisi XRPL.to, ripresa dalla stampa di settore, porta il conto del solo XRPL a circa 11,75 milioni di XRP prelevati da 6.678 conti in sei ondate distinte fra il 15 e il 20 settembre — intorno ai 18,7 milioni di dollari al cambio usato dalla fonte (1,59 $ per XRP). È la stima più ampia finora e assorbe le precedenti, ma resta una ricostruzione di terzi: l'azienda non l'ha confermata, non ha pubblicato un totale proprio e non ha annunciato alcun rimborso. Aggiornamento del 30/9 — l'azienda è tornata a parlare e le cifre sono cresciute. Il 26/9 IoTrust ha pubblicato la prima dichiarazione sostanziale dopo il rapporto del 17/9 (x.com/DCENTWALLETS/status/2103692076219322824, ore 05:44): dice di non aver «individuato prove che indichino che l'incidente sia originato dai wallet hardware DCENT» — resta però valido l'avvertimento per chi ha inserito o ripristinato nell'App Wallet la seed di un dispositivo hardware — e di collaborare con le forze dell'ordine, specialisti di sicurezza esterni, progetti blockchain ed exchange per tracciare gli asset. Su rimborsi e recuperi la formula ufficiale è netta e va letta per quello che dice: «qualunque congelamento o recupero degli asset dipende interamente dalle autorità competenti e da terze parti e non può essere garantito». Nessun piano di indennizzo, né il 26/9 né nella FAQ ufficiale, che si limita a chiedere l'aggiornamento dell'app alla versione 10.0.0 o successiva e a ripetere che DCENT non chiederà mai di inviare asset per un «recupero» o un «risarcimento». Sul fronte delle cifre, una ricostruzione più ampia ripresa il 28/9 da Protos e da Crypto Briefing porta il totale del solo XRPL a circa 12,4 milioni di XRP prelevati da 7.393 conti in una finestra di dieci giorni, dal 15 al 25 settembre — non più sei ondate ferme al 20. Assorbe la stima precedente (11,7 milioni da 6.678 conti fra il 15 e il 20) e vi aggiunge il dato che pesa di più: altri 640.370 XRP sono stati portati via DOPO l'appello pubblico del 21 settembre, cioè dopo che gli utenti erano stati avvisati. La prima ondata del 15/9 ha svuotato 1.682 conti per 3,6 milioni di XRP in meno di tre ore, cominciando a mano dai saldi grossi e passando poi a script per scendere sui piccoli; 6.095 conti risultano cancellati. Del bottino, circa 6,3 milioni di XRP — poco più della metà — sono stati convertiti in ether tramite THORChain, protocollo di scambio cross-chain che non richiede identificazione, e da lì indirizzati verso exchange centralizzati fra cui Binance; al 25/9 restavano circa 1,4 milioni di XRP sugli indirizzi dell'attaccante. In dollari le fonti danno fra i 18 e i 20 milioni, con cambi diversi: l'importo resta deliberatamente non dichiarato in scheda, perché quelle cifre coprono il solo XRPL, dipendono dal cambio scelto e l'azienda non ha mai pubblicato un totale proprio. E l'incidente non è più un fatto XRPL. Il perimetro dichiarato dall'azienda comprendeva Bitcoin, Ethereum, XRPL, TRON e reti EVM, ma ora le perdite verificate fuori da XRPL ci sono: IoTrust ha reso noto di aver ricevuto almeno 110 segnalazioni di trasferimenti anomali che includono asset non-XRP (dato riferito al 18/9, riportato da ZDNet Korea), e la stampa documenta perdite confermate su Bitcoin e almeno un caso su Stellar. Nessuna ripartizione per catena è stata pubblicata: la dimensione del danno fuori da XRPL non è quantificata da nessuno, ed è il buco più grosso che resta. La causa tecnica non è stata divulgata per scelta dichiarata dell'azienda; alcuni ricercatori indicano una debolezza nella generazione casuale delle chiavi nelle versioni più vecchie dell'app, ipotesi che IoTrust non ha confermato. Le ondate tracciate arrivano al 25 settembre e le chiavi esposte restano compromesse: chi non ha ancora cambiato seed può essere svuotato in qualsiasi momento, ed è la ragione per cui questo incidente resta segnalato come attivo.

Ultime informazioni verificate

L'11/9/2026, verso le 07:20 UTC, un attaccante ha svuotato 11 portafogli sfruttando AtomicQueue, una vecchia coda di prelievo costruita da Veda e non più in uso. Il difetto è un controllo mancante: la funzione solve() non verificava che chi la chiamava fosse davvero il «solver» indicato. L'attaccante ha quindi creato una richiesta su misura con updateAtomicRequest() indicando la VITTIMA come solver; il contratto ha poi chiamato finishSolve sull'indirizzo della vittima ed eseguito un transferFrom, usando l'autorizzazione ERC-20 che quella vittima aveva concesso al contratto tempo prima e mai revocato. Bottino: 14,4455 liquidETH da 9 indirizzi più circa 7,05 USDC da altri 2, per 15,4536 ETH complessivi (circa 38.000 dollari); un solo indirizzo ha perso 12,37 liquidETH, l'86% del totale. Dettaglio tecnico che spiega chi è stato colpito e chi no: tutte e 11 le vittime erano smart wallet — 7 indirizzi aggiornati via EIP-7702 e 3 Coinbase Smart Wallet — perché l'attacco richiedeva che l'indirizzo della vittima contenesse codice eseguibile; gli indirizzi ordinari non aggiornati facevano fallire la chiamata e sono rimasti intoccati. Nel giro di circa 8 minuti l'attaccante ha versato 15,5 ETH in Tornado Cash con 11 transazioni separate, il che rende il recupero improbabile. Il primo allarme pubblico è di ExVul alle 07:51 UTC, seguito da SlowMist, che dichiara di aver avvisato il team in privato prima della divulgazione. L'amministratore delegato Mike Silagadze ha confermato l'accaduto rispondendo nei thread di ExVul e SlowMist: ha definito AtomicQueue un vecchio contratto Veda approvato da un numero ristretto di utenti, ha detto che il problema era risolto e che gli utenti colpiti sarebbero stati rimborsati. QUELLO CHE NON SI SA, ed è rilevante: ether.fi non ha pubblicato alcun post-mortem formale. Il blog ufficiale si ferma al 13/8/2026 e l'account @ether_fi non ha pubblicato nulla sull'attacco — il 12/9 stava promuovendo un'iniziativa commerciale. Il rimborso è stato annunciato a parole, ma non esiste una prova pubblica e verificabile che sia stato eseguito: per questo la voce resta aperta. Non risultano invece compromessi eETH, weETH, la LiquidityPool e la contabilità dei vault Liquid attuali, e nessuna fonte segnala effetti sulla carta ether.fi Cash, che non passa da questo contratto.

Ultime informazioni verificate

Non è un'intrusione: è Revolut che ha consegnato i dati da sé, convinta di rispondere a un'autorità. Una richiesta di informazioni fraudolenta è arrivata da un account non autorizzato che usava il dominio email REALE di un'agenzia governativa — non un dominio simile, quello autentico — e ha quindi superato i controlli di autenticazione del mittente. Nella comunicazione inviata ai clienti l'azienda scrive di aver evaso la richiesta «nella ragionevole convinzione che fosse un'autentica richiesta di un'agenzia governativa». Secondo l'avviso di Revolut, reso pubblico l'11/9/2026 dall'investigatore ZachXBT che ne ha diffuso copia, i dati consegnati comprendono: nome completo, data di nascita, professione, indirizzo postale, email e telefono; copia dei documenti d'identità (passaporto o patente) e i selfie di verifica caricati all'apertura del conto; e sul lato finanziario IBAN, stato e data di apertura del conto, numeri di riferimento del wallet Bitcoin presenti negli estratti conto, registro dei prelievi e storico completo delle transazioni, inclusi i trasferimenti in Bitcoin. Revolut precisa che i dati biometrici di telemetria facciale — cosa diversa dalle immagini dei selfie, che invece sono uscite — non fanno parte di quanto consegnato. Il 12/9/2026 un portavoce ha confermato pubblicamente l'episodio a TechCrunch, definendolo «una sofisticata truffa esterna per impersonificazione», e ha dichiarato che «i sistemi di Revolut e i fondi dei clienti non sono stati toccati»: non ci sono stati accessi ai conti né prelievi. L'azienda ha bloccato l'indirizzo email, avvisato l'agenzia governativa coinvolta, le forze dell'ordine e le autorità di vigilanza, e ha notificato direttamente i clienti colpiti. QUELLO CHE NON SI SAPEVA il 12/9, ed era rilevante: Revolut parlava di un numero «limitato» di clienti ma rifiutava di dirne la cifra e di indicare i mercati interessati (si veda l'aggiornamento del 15/9 in fondo); non nomina l'agenzia impersonata; e non spiega come terzi siano arrivati a usarne il dominio ufficiale. ZachXBT osserva che il numero di conti sembra contenuto ma che l'attacco pare mirato a persone con patrimoni elevati. Non è nota la data in cui i dati sono stati effettivamente consegnati: la data qui indicata è quella delle email di notifica arrivate ai clienti. AGGIORNAMENTO 14-15/9/2026 — I DATI ORA VENGONO PUBBLICATI, NON SOLO DETENUTI. Account che si dichiarano autori dell'attacco hanno aperto una campagna di estorsione pubblica su più gruppi Telegram. The Register, che ha visto direttamente quei post, riferisce che contengono estratti di dati apparentemente riferibili a persone di alto profilo — amministratori delegati, sportivi professionisti, artisti — e che gli autori minacciano di rilasciare «sempre più dati ogni giorno finché Revolut non pagherà per aver fatto trapelare i suoi clienti», chiedendo un riscatto di 10.000 bitcoin (oltre 780 milioni di dollari ai prezzi del 14/9/2026). Recorded Future News riporta la stessa richiesta e aggiunge due elementi: un cliente i cui dati sono stati diffusi come prova non ne ha contestato l'autenticità, e fra chi ha dichiarato pubblicamente di essere stato colpito c'è Mark Karpelès, ex amministratore delegato di Mt. Gox. L'account Telegram è stato successivamente sospeso. Revolut, interpellata da entrambe le testate, ha rifiutato di commentare l'esistenza della richiesta di riscatto. ATTENZIONE A COSA È PROVATO E COSA NO: che la campagna di estorsione esista e che estratti dei dati circolino è documentato da due testate indipendenti che hanno visto i post con i propri occhi; che chi li pubblica sia davvero l'autore della sottrazione resta una SUA rivendicazione, non un fatto accertato, e nessuna autorità l'ha confermata. Un'ulteriore indicazione NON confermata, che riportiamo perché riguarda da vicino chi legge dall'Italia: sempre secondo Recorded Future News, le immagini diffuse da quell'account suggeriscono che l'email fraudolenta provenisse da un dominio ITALIANO. Le autorità italiane interpellate dalla testata non hanno risposto, Revolut continua a non nominare l'agenzia, e la testata stessa precisa che non tutti i dettagli contenuti nei post erano verificabili: è un indizio, non un accertamento. Fonti vicine all'azienda dicono a The Register che la quota di clienti colpiti è piccola e che le indagini in corso e gli obblighi di riservatezza impediscono di dire di più. Non è noto se lo stesso dominio compromesso sia stato usato contro altri operatori finanziari. AGGIORNAMENTO 15/9/2026 — ARRIVA LA CIFRA, E PARLANO I REGOLATORI. Il Financial Times, ripreso da Reuters e dalle coperture successive, quantifica per la prima volta l'episodio: i clienti colpiti sono 680, e Revolut li ha contattati tutti direttamente. La cifra non arriva da un comunicato dell'azienda, che aveva sempre rifiutato di darla, ma dalla ricostruzione della stampa: Revolut non l'ha smentita né confermata pubblicamente. Sui mercati interessati si comincia a vedere qualcosa: la televisione pubblica irlandese RTÉ riferisce che 12 dei 680 sono in Irlanda, su circa 3,4 milioni di clienti Revolut nel paese — segno che le persone sono state scelte una per una, non prese da un mercato intero. Per l'Italia non esiste ancora un dato. Sul fronte delle autorità, che fino al 14/9 non si erano esposte, ci sono ora due dichiarazioni pubbliche, e vanno lette per quello che dicono davvero: l'ICO britannico, il garante della privacy, afferma «possiamo confermare di aver ricevuto una segnalazione e stiamo valutando le informazioni fornite» — è una valutazione preliminare, NON l'apertura formale di un'istruttoria, e diverse testate l'hanno riportata impropriamente come «indagine»; la FCA, l'autorità di vigilanza finanziaria britannica, dichiara di essere «a conoscenza dell'incidente segnalato riguardante Revolut» e di «essere in contatto con l'azienda per comprenderne l'impatto». Nessuna delle due ha annunciato provvedimenti. L'estorsione intanto non si è fermata: il gruppo che si attribuisce l'attacco si fa chiamare «Revolut Smilik» e ha confermato di volere un pagamento, ribadendo che pubblicherà «sempre più dati ogni giorno» finché non arriva. Revolut continua a non commentare. AGGIORNAMENTO 16-17/9/2026 — IL CANALE HA UN NOME ED È ITALIANO, E IL RISCATTO CROLLA DA 780 MILIONI A 3. (1) COME SONO ARRIVATE LE RICHIESTE. Dal 12/9 mancava la risposta a una domanda precisa: come ha fatto un estraneo a scrivere dal dominio autentico di un'autorità? Ora si sa su quale canale viaggiavano le richieste: la PEC, la posta elettronica certificata italiana, il sistema a valore legale usato da pubbliche amministrazioni, imprese e privati. Secondo fonti del Corriere della Sera, riprese il 16/9 da Il Fatto Quotidiano e da MilanoFinanza, la casella utilizzata sarebbe quella della Prefettura di Reggio Calabria; lo stesso nome compare in un'interrogazione parlamentare dei senatori del Partito Democratico Lorenzo Basso e Antonio Nicita. ATTENZIONE A COSA NON È ACCERTATO, perché qui la differenza è sostanziale: NON è stabilito se la casella sia stata davvero presa in mano da qualcuno — fra gli esperti forensi circola l'ipotesi di un infostealer, cioè di credenziali sottratte a un computer — oppure se il mittente sia stato falsificato dall'esterno (spoofing). Sono due scenari con conseguenze molto diverse per chiunque usi la PEC, e le indagini servono esattamente a distinguerli: finché non lo fanno, qui non si sceglie la versione più grave. La Polizia postale indaga per accesso abusivo a sistema informatico e frode informatica; l'Agenzia per la cybersicurezza nazionale e la Banca d'Italia stanno svolgendo verifiche; il Garante per la protezione dei dati personali ha avviato accertamenti. Le autorità italiane interpellate dall'Irish Times hanno declinato ogni commento, pur confermando che le indagini sono in corso. Gli autori sostengono inoltre di detenere 147 GB di materiale — 36.393 file in 5.223 cartelle — proveniente da sistemi delle forze dell'ordine italiane: è una LORO rivendicazione, non verificata da nessuno, e come tale va letta. (2) IL RISCATTO SI SGONFIA. Il 16/9 il gruppo pubblica un conto alla rovescia di 24 ore e abbassa la richiesta da 10.000 bitcoin a 6.000 monero, circa 3 milioni di dollari, minacciando in alternativa di vendere i fascicoli dei 680 clienti ad altri gruppi criminali. Lo riferisce il Financial Times, a cui è stata mostrata una registrazione di 60 secondi con passaporti, patenti e movimenti bancari, e lo riprendono CoinDesk il 16/9 e altre testate il 17/9. Per la prima volta Revolut dice qualcosa sul riscatto, dopo giorni di «no comment»: «Revolut non ha ricevuto alcun contatto diretto né alcuna richiesta dalle persone o dal gruppo che avanzano queste rivendicazioni». Come va letta: una richiesta pubblicata su Telegram con un timer ma mai recapitata all'azienda è una pressione rivolta al pubblico e alle vittime, non una trattativa in corso; e un prezzo che scende da oltre 780 milioni a 3 in due giorni dice soprattutto che nessuno sta pagando. (3) DOVE SONO I 680. La maggior parte sarebbe in Svizzera e in Francia, con residenti di una trentina di altri paesi — fra cui Regno Unito, Germania e Spagna. Anche questo è un dato attribuito agli autori dell'attacco e non confermato da Revolut. Per l'Italia continua a non esserci una cifra di clienti colpiti: in questa vicenda l'Italia compare come origine del canale usato, non come mercato bersaglio. (4) SUI REGOLATORI NON È CAMBIATO NULLA, e va detto perché in questi giorni si legge il contrario: numerose testate, italiane comprese, scrivono che l'ICO britannico avrebbe «aperto un'indagine» il 14 o il 15/9. Le parole dell'ICO restano quelle di prima — ha ricevuto una segnalazione e sta valutando le informazioni fornite — e il 15/9 MLex, la testata specializzata in regolazione, titolava ancora che la segnalazione «è in valutazione». Finché non arriva un atto o una frase dell'autorità che dica altro, qui resta scritto il verbo più debole. Revolut, sul proprio account X, non ha pubblicato nulla sull'incidente: l'ultimo post è del 3/9 e riguarda l'approvazione condizionata dell'OCC statunitense. AGGIORNAMENTO 17/9/2026 — DA DOVE ARRIVAVANO LE CREDENZIALI, E QUALE BANCA DEL GRUPPO HA RICEVUTO LE RICHIESTE. (1) Per la prima volta, al posto di un'ipotesi generica, c'è un dato con un nome sopra. La società di intelligence sulle minacce Hudson Rock dichiara di avere nel proprio archivio circa 300 credenziali della webmail pec.interno.it — il dominio di posta certificata del Ministero dell'Interno, da cui dipendono le Prefetture — tutte provenienti da computer infettati in passato da infostealer, i programmi che rubano le password salvate nel browser. La società ne trae una valutazione, e la scrive al condizionale: gli attaccanti potrebbero aver comprato o riutilizzato credenziali già rubate da altri, senza aver bisogno di infettare direttamente un dipendente pubblico. Lo riportano CyberInsider il 16/9/2026 e SecurityWeek il 17/9/2026. COSA CAMBIA E COSA NO: cambia che l'ipotesi «infostealer» ha adesso un nome e un numero dietro, invece di essere una voce che circola fra esperti forensi; NON cambia che sia accertata. La valutazione di una società privata non è l'esito di un'indagine, e nessuna autorità italiana ha ancora detto se la casella sia stata davvero presa in mano oppure se il mittente sia stato falsificato dall'esterno. Qui resta quindi la doppia ipotesi, esattamente com'era. Gli stessi articoli riportano inoltre — come rivendicazione degli autori, non come fatto verificato — che nella casella sarebbero stati aggiunti un indirizzo di recupero e una sorveglianza continua della posta, con cancellazione dei messaggi fraudolenti in uscita. (2) SI SA ORA QUALE SOCIETÀ DEL GRUPPO HA RICEVUTO LE RICHIESTE: non l'entità britannica, ma Revolut Bank UAB, la banca lituana del gruppo, quella che serve i clienti dello Spazio economico europeo, Italia compresa. Lo scrivono entrambe le testate. (3) LA SCADENZA È MATURATA E NON SI SA COM'È FINITA. Il conto alla rovescia di 24 ore aperto il 16/9 pomeriggio è scaduto nel pomeriggio del 17/9: alla sera del 17/9 nessuna fonte riporta un pagamento, una pubblicazione in blocco dei 680 fascicoli, una vendita ad altri gruppi o una nuova richiesta. Non sapere com'è andata non è una buona notizia: significa solo che non è successo niente di pubblico. L'estorsione resta aperta. Revolut, sul proprio account X, resta muta sull'incidente da due settimane: l'ultimo post è ancora quello del 3/9 sull'OCC. AGGIORNAMENTO 19/9/2026 — L'ESTORSIONE SI FERMA IN SILENZIO, E QUESTA SCHEDA SMETTE DI SEGNARE «IN CORSO». Quarantotto ore oltre la scadenza del riscatto — il conto alla rovescia era maturato nel pomeriggio del 17/9 — non è ancora successo niente di pubblico: nessun pagamento, nessuna pubblicazione in blocco dei 680 fascicoli, nessuna vendita ad altri gruppi criminali, nessun rilancio, nessuna nuova rivendicazione. Le uscite di stampa della finestra sono riprese di quanto già noto, senza fatti nuovi. Revolut resta muta sull'incidente sul proprio account X: l'ultimo post è ancora quello del 3/9 sull'OCC. Cambia quindi una cosa sola, e riguarda il modo in cui questo caso viene mostrato: fino a oggi il monitor in home lo marcava «in corso», lo stato riservato a ciò che sta accadendo mentre lo leggi — un attacco in atto, fondi che si muovono, prelievi ancora bloccati. Qui non è più così: la consegna dei dati è un fatto compiuto l'11/9, la minaccia di pubblicazione è ferma da due giorni, e gli accertamenti del Garante italiano e la valutazione dell'ICO britannico sono procedimenti, non emergenze. Il caso passa perciò allo stato «aperto»: non è chiuso — i dati sono usciti e restano fuori — ma non sta succedendo nulla in questo momento. Non è un ridimensionamento della gravità, che resta identica, ed è una decisione reversibile in un'ora: se i 680 fascicoli vengono pubblicati, venduti, o se arriva una nuova richiesta, questa scheda torna «in corso» lo stesso giorno. AGGIORNAMENTO 22/9/2026 — GLI AUTORI SONO DUE E SI ACCUSANO A VICENDA, I DATI ERANO FUORI GIÀ A LUGLIO, E INTANTO SONO PARTITI GLI SMS AI CLIENTI. (1) NON È UN GRUPPO SOLO, E FINO A OGGI QUESTA SCHEDA NE HA NOMINATO UNO SOLO: la correzione va fatta per prima. Sopra si legge che il gruppo «si fa chiamare Revolut Smilik». I canali Telegram che hanno rivendicato l'attacco sono invece DUE: «IAmNotAVillain», quello della richiesta di 6.000 monero (circa 3 milioni di dollari), e «Revolut Smilik», quello dei 10.000 bitcoin. Il primo sostiene che il secondo sia «un impersonatore e truffatore che lavorava con noi», al quale sarebbe stato consegnato un piccolo campione dei dati e che ora rivendica l'intera sottrazione come propria, e avverte le vittime di non trattare con altri. Entrambi i canali sono stati sospesi da Telegram; «iamnotavillain» è poi ricomparso su un sito proprio. Lo ricostruiscono KELA (analisi aggiornata al 15/9/2026) e BankInfoSecurity (15/9/2026). COSA CAMBIA PER CHI LEGGE: chi è fra i 680 e viene contattato non può dedurre dal nome chi abbia davvero il suo fascicolo — e il fatto stesso che un campione sia passato di mano fra due soggetti significa che quei dati hanno già circolato. Quale delle due versioni sia vera non è accertato da nessuno: sono rivendicazioni incrociate di criminali, e le riportiamo come tali. (2) I DATI ERANO FUORI ALMENO DA FINE LUGLIO — DUE MESI PRIMA DELLA NOTIFICA AI CLIENTI. BankInfoSecurity riferisce che fra i ricattati ci sono Mark Karpelès, ex amministratore delegato di Mt. Gox, l'imprenditore crypto Marc Zeller e Felix Romer, fondatore della piattaforma di gioco Gamdom, oltre ad altre figure del settore, contattati direttamente dall'autore dell'attacco. Una delle vittime ha documentato di aver ricevuto minacce estorsive con schermate di chat Discord datate 26 LUGLIO 2026, cioè circa due mesi prima che Revolut rendesse pubblico l'episodio. QUI SERVE PRECISIONE SULLE DATE, perché è il punto su cui questa scheda può sbagliare più facilmente: la data dell'incidente resta l'11/9/2026 perché è quella — verificabile — delle email di notifica ai clienti, e la data effettiva della consegna dei dati continua a non essere stabilita né da Revolut né da un'autorità. Quello che ora è documentato è un'altra cosa, ed è sufficiente a cambiare la percezione del caso: l'estorsione contro le singole vittime era già in corso a luglio. Chi ha ricevuto l'email l'11/9 non stava venendo avvisato di un fatto appena avvenuto. (3) QUANTO SAREBBE DURATA, E PERCHÉ PROPRIO LA BANCA LITUANA. Secondo il racconto che gli autori hanno fatto al Financial Times, ripreso da SecurityWeek il 17/9/2026, da American Banker il 18/9/2026 (aggiornato il 20/9) e da Cybernews, Revolut avrebbe risposto alle richieste fraudolente per circa CINQUE-SEI MESI, non una volta sola. Gli autori dichiarano di aver scelto Revolut Bank UAB, la controllata lituana, proprio perché è tenuta a rispondere a un Ordine europeo di indagine — la richiesta transfrontaliera di prove che uno Stato membro dell'Unione europea può inviare a un altro: non hanno aggirato una procedura di conformità, hanno preso di mira l'obbligo di rispondere. Dichiarano inoltre di aver selezionato i bersagli con analisi on-chain, individuando i conti Revolut con saldi in criptovalute rilevanti — il che spiega perché i 680 siano quasi tutti persone con patrimoni visibili e non un campione casuale di clientela. American Banker aggiunge il dettaglio più duro: in almeno un caso una richiesta presentata in forma errata non ha insospettito nessuno, e il personale di Revolut avrebbe spiegato come correggerla. ATTENZIONE, È DECISIVO: tutto questo paragrafo è il RACCONTO DEGLI AUTORI dell'attacco, riferito alla stampa e da questa rilanciato. Revolut non ha confermato né la durata né il numero delle richieste, nessuna autorità l'ha accertato, e Cybernews stessa titola «il gruppo sostiene». Non lo scriviamo come fatto: lo scriviamo come ciò che è, una versione di parte che però proviene dall'unico soggetto che sa com’è andata e che finora non è stata smentita. (4) IL SITO DELL'ESTORSIONE, E I SUOI NUMERI. L'analisi di KELA descrive l'infrastruttura: una pagina statica ospitata su GitHub Pages, dominio e DNS su GoDaddy, sottodominio dei pagamenti su GoDaddy Payments — roba messa in piedi in fretta con servizi gratuiti o quasi, non un'organizzazione strutturata. La pagina espone schermate presentate come prova degli scambi con la casella italiana e con l'indirizzo [email protected], accusa Revolut di aver ignorato le notifiche, e offre un contatto via Telegram e Session sia ai giornalisti sia alle persone colpite. Rivendica diciannove archivi «Document Revolut» e una cartella da 326 MB contenente 688 file. NOTA SUI NUMERI: 688 file non sono 688 clienti, e non coincidono con i 680 riferiti dal Financial Times; sono conteggi pubblicati dagli autori sul proprio sito, non un dato verificato. (5) LA COSA PIÙ UTILE DA SAPERE OGGI: SONO PARTITI GLI SMS AI CLIENTI. Malwarebytes, che se n’è accorta per prima (17/9/2026), e Infosecurity Magazine (21/9/2026) documentano una campagna di smishing contro clienti Revolut. Un cliente colpito ha ricevuto il messaggio lunedì 14/9/2026, due giorni dopo l'annuncio pubblico, e — questo è il dettaglio che rende la truffa efficace — l'SMS è comparso NELLO STESSO THREAD degli SMS autentici di Revolut, accodandosi alla conversazione vera. Il link porta a una pagina che chiede l'accesso alla fotocamera del telefono e, se lo si concede, imita la verifica d'identità in video di Revolut, quella in cui viene chiesto di girare la testa, per poi domandare la password. Serve a raccogliere un selfie o un video da riutilizzare per superare verifiche altrove o per rendere credibile la truffa successiva. COSA NON È PROVATO, e lo dice la stessa società che ha scoperto la campagna: Malwarebytes scrive che «non sappiamo ancora se la campagna di phishing stia usando i dati esposti nella violazione, oppure se truffatori non collegati stiano sfruttando la notizia dell'incidente per colpire i clienti Revolut più in generale». Qui il nesso con la violazione NON viene dato per stabilito — ed è anche il motivo per cui questa campagna non diventa un incidente a sé di Revolut: il phishing di terzi non è un fatto del fornitore. Per chi legge cambia poco, perché la difesa è identica nei due casi, ed è scritta qui sotto. (6) PERCHÉ LA SCHEDA RESTA «APERTA» E NON TORNA «IN CORSO». Il 19/9 questa scheda aveva fissato tre condizioni per tornare allo stato «in corso»: la pubblicazione in blocco dei 680 fascicoli, la loro vendita ad altri gruppi, oppure una nuova richiesta di riscatto. A oggi nessuna delle tre si è verificata, e nessuna fonte riporta un pagamento. Il sito dell'estorsione non è un fatto nuovo — esisteva già il 15/9, quindi prima di quella decisione: semplicemente non era stato annotato qui. La campagna di SMS è opera di terzi e non è attribuita a Revolut. Lo stato resta perciò «aperto»: il caso non è chiuso, i dati sono fuori e ci restano, ma non sta accadendo nulla in questo momento che riguardi i sistemi o i fondi. Resta vero l'impegno di prima: se i fascicoli vengono pubblicati o venduti, o arriva una nuova richiesta, si torna «in corso» lo stesso giorno. Revolut, sul proprio account X, continua a non dire nulla sull'incidente.

Ultime informazioni verificate

Non è un'intrusione nei server dell'azienda: Alby Hub è self-custody e gira sulla macchina dell'utente. Il 9/9/2026 getAlby ha confermato pubblicamente una vulnerabilità critica nelle versioni v1.7.0–v1.18.5 del Hub (rilasci precedenti ad agosto 2025) quando l'interfaccia di gestione è raggiungibile da internet: nelle parole dell'azienda, «la vulnerabilità poteva consentire a un attaccante in grado di raggiungere l'API di gestione del Hub di ottenere accesso non autorizzato e inviare fondi». Le versioni dalla v1.19.0 (29/8/2025) in poi non sono interessate: la falla era di fatto già chiusa da oltre un anno, ma chi non aggiorna resta scoperto. Alby dichiara che, a sua conoscenza, «un utente è stato colpito e per fortuna ha segnalato questi dettagli»: l'azienda NON ha quantificato alcuna perdita e non ha detto se quell'utente abbia perso denaro. I dettagli tecnici sono deliberatamente trattenuti («pubblicheremo i dettagli completi in una fase successiva, seguendo le pratiche di divulgazione responsabile»), non esiste un identificativo CVE pubblico e l'azienda ringrazia Bitcoin Team Red, Project Loupe e altri ricercatori per segnalazioni corrette nell'ultimo rilascio. Nessun indennizzo è stato annunciato, perché nessuna perdita è stata quantificata.

Ultime informazioni verificate

La sera del 9 settembre 2026 BitBox ha avvisato sul proprio account X ufficiale che era in circolazione «un'email di phishing che finge di venire da noi», invitando a non seguirne le istruzioni. Alle 23:03 CEST l'azienda ha pubblicato l'esito preliminare della verifica: l'email era stata «inviata ai nostri iscritti alla newsletter» ed è «molto probabile che il nostro fornitore di newsletter sia stato compromesso»; inoltre «anche molte altre aziende bitcoin sono state colpite, e sembra che condividiamo tutte lo stesso fornitore di newsletter». BitBox ha dichiarato di aver inviato un avviso di phishing a tutti gli iscritti, contattato il fornitore e segnalato i domini fraudolenti, «la maggior parte dei quali risulta già rimossa», e di stare ancora indagando. Il dato che conta per l'utente è che il messaggio è arrivato lungo il canale legittimo, alla lista degli iscritti veri: controllare il mittente non basta a distinguerlo. Secondo Cointelegraph e Cyber Daily il messaggio fraudolento agitava un presunto difetto nella generazione dei numeri casuali del dispositivo, lo stesso schema usato lo stesso giorno contro i clienti Trezor, che ha attribuito la propria campagna alla violazione di un fornitore email di terze parti (voce nella scheda Trezor). Alla data di verifica nessuna fonte ha confermato furti di fondi o di frasi di recupero, e nessuna delle due aziende ha reso noto il nome del fornitore, il numero di iscritti raggiunti o la data d'inizio della compromissione. Nota di metodo: il phishing di terzi contro gli utenti di un servizio non entra in questo registro; questa voce c'è perché la compromissione riguarda un fornitore della catena di comunicazione di BitBox, dichiarata dall'azienda stessa. AGGIORNAMENTO DEL 10/9/2026 ORE 14:00 CEST: il fornitore condiviso di cui parlava BitBox ha ora un nome, fatto però da un'altra azienda colpita. Alle 23:32 CEST del 9/9 CoinTracking — servizio di rendicontazione fiscale delle criptovalute, non presente in questo registro — ha dichiarato sul proprio account X ufficiale che «il nostro fornitore di posta di terze parti Brevo ha subito una violazione di sicurezza», con una terza esca cucita sul proprio servizio: un'email intitolata «Data Breach Notice: Please refresh API Keys as soon as possible». BitBox e Trezor continuano a non nominare il fornitore, e alle 12:00 UTC del 10/9 la pagina di stato di Brevo risulta «pienamente operativa», senza alcun avviso di sicurezza. Sulle intestazioni dell'email ricevuta dai clienti Trezor, Decrypt e Cryptopolitan riferiscono — sulla base di schermate di destinatari, non di una conferma aziendale — il percorso di campagna Sendinblue (nome precedente di Brevo) e il superamento dei controlli DKIM, SPF e DMARC: è la spiegazione tecnica di quello che BitBox aveva già detto in parole semplici, cioè che il messaggio arriva lungo il canale legittimo. La previsione di BitBox sulle «molte altre aziende bitcoin» colpite trova quindi un terzo riscontro pubblico. Restano assenti conferme di furti di fondi o di frasi di recupero; alle 14:00 CEST del 10/9 l'ultimo intervento pubblico di BitBox resta quello delle 23:03 del 9/9, e non risulta pubblicato alcun rapporto conclusivo. AGGIORNAMENTO DEL 12/9/2026 ORE 08:00 CEST — IL FORNITORE HA AMMESSO, MA NON È STATA BITBOX A DIRLO. Quanto scritto qui sopra al 10/9 va corretto su un punto: non è più vero che il nome circoli solo per bocca di CoinTracking, e non è più vero che «la pagina di stato di Brevo risulta pienamente operativa senza alcun avviso di sicurezza». Il 10/9 Brevo ha pubblicato sulla propria pagina di stato un rapporto post-incidente intitolato «Attacker gained access to client accounts»: alle 06:30 UTC ha individuato «un problema di sicurezza in cui un attaccante ha sfruttato una falla nel modo in cui Brevo gestisce il SAML SSO per ottenere accesso a 138 account Brevo». Il meccanismo, parole di Brevo: l'attaccante ha creato un account Brevo, vi ha attivato il single sign-on e ha invitato dentro quella configurazione utenti Brevo legittimi, poi si è autenticato attraverso il proprio identity provider agendo come loro; l'accesso non era delimitato correttamente e, invece di fermarsi alla sola organizzazione in cui l'SSO era attivo, «gli ha concesso erroneamente accesso a tutte le organizzazioni raggiungibili da quegli utenti». RIPARTIZIONE UFFICIALE DEI 138 ACCOUNT: 6 usati per inviare phishing ai contatti archiviati, 43 con i contatti esportati, 93 senza attività significativa. Brevo dichiara di aver chiuso il vettore alle 08:30 UTC del 10/9, due ore dopo l'individuazione, di aver disconnesso tutti gli utenti della piattaforma, distribuito correzioni permanenti che limitano l'accesso SSO alla sola organizzazione proprietaria e disattivato i link nelle email fraudolente. È la conferma, dalla fonte che conta, di quello che BitBox aveva intuito il 9/9 parlando di un fornitore condiviso fra più aziende bitcoin. COSA VALE PER BITBOX E COSA NO: che gli iscritti BitBox abbiano ricevuto il phishing lungo il canale legittimo lo ha detto BitBox stessa; in quale delle tre caselle di Brevo ricada il suo account — fra i 6 da cui sono partiti gli invii, fra i 43 con i contatti esportati, o in entrambe — non è dichiarato da nessuna delle due aziende, e non lo deduciamo noi. BitBox continua a non pubblicare il numero di iscritti raggiunti, e al 12/9 non ha nominato pubblicamente il fornitore né pubblicato un rapporto conclusivo: il suo ultimo intervento sul caso resta quello del 9/9. IL TERMINE DI PARAGONE, UTILE PERCHÉ MISURA L'INFORMAZIONE CHE MANCA: Trezor, colpita nella stessa ondata e dallo stesso fornitore, ha pubblicato il 10/9 un avviso sul proprio blog in cui nomina Brevo e quantifica l'esposizione — circa 347.000 indirizzi della newsletter, 2.500 clic, dominio rimosso entro 20 minuti (voce nella scheda Trezor). Per BitBox l'equivalente di quei numeri, a oggi, non esiste. PERCHÉ ABBIAMO TOLTO «IN CORSO»: la campagna non è più in svolgimento — il vettore è chiuso per dichiarazione dell'operatore della piattaforma, i domini di phishing risultano rimossi, gli invii sono cessati. La voce resta non risolta perché mancano il perimetro dichiarato da BitBox e un rapporto conclusivo, e perché gli indirizzi eventualmente esportati restano in circolazione. Al 12/9 nessuna fonte, compresi BleepingComputer, SecurityWeek, Malwarebytes e The Record, ha confermato furti di fondi o di frasi di recupero riconducibili a questa campagna. AGGIORNAMENTO DEL 12/9/2026 ORE 13:30 CEST — BITBOX HA PARLATO, MA A UN GIORNALE. Quanto scritto qui sopra alle 08:00 va corretto su un punto, e la correzione è a favore di BitBox: non è più vero che «il suo ultimo intervento sul caso resta quello del 9/9», né che al 12/9 non abbia nominato pubblicamente il fornitore. L'11/9 Cointelegraph ha pubblicato dichiarazioni di un portavoce di BitBox, ed è la prima volta che l'azienda descrive il proprio perimetro. QUELLO CHE BITBOX DICHIARA, per bocca del portavoce: l'email non autorizzata è stata inviata «attraverso Brevo» — il fornitore è dunque nominato dall'azienda stessa, non più soltanto da CoinTracking — e «sembra aver raggiunto l'intera lista della newsletter e dei tutorial»; su Brevo erano archiviati «solo indirizzi email e preferenze di lingua»; BitBox dichiara inoltre di non aver trovato prove di credenziali aziendali compromesse, di contatti scaricati, di fondi perduti o di frasi di recupero rivelate, e di trattare comunque la lista come potenzialmente accessibile in attesa dei log di Brevo. CHE PESO HA QUESTA FONTE, DETTO CHIARAMENTE: sono parole dell'azienda, ma raccolte e riportate da un'unica testata, non pubblicate da BitBox sui propri canali. Alle 13:00 CEST del 12/9 il blog ufficiale (blog.bitbox.swiss) non contiene alcun articolo sull'episodio, e sull'account X l'ultimo intervento in merito resta quello del 9/9 — stamattina l'account ha pubblicato solo l'annuncio della propria presenza a una fiera. Riportiamo quindi la dichiarazione con l'attribuzione in chiaro, non come comunicato ufficiale. COSA RESTA APERTO: il numero degli iscritti raggiunti continua a non esistere, perché «l'intera lista» è un perimetro e non una cifra; e in quale delle tre caselle di Brevo ricada l'account BitBox — fra i 6 da cui sono partiti gli invii, fra i 43 con i contatti esportati, o in entrambe — non è dichiarato da nessuna delle due aziende. Una differenza rispetto a stamattina però c'è, ed è sostanziale: BitBox dice ora di non avere prove di contatti scaricati. Non equivale a escluderlo, tanto che l'azienda stessa aspetta i log del fornitore per saperlo, ma è più di quanto avesse detto finora. Resta invece invariato il termine di paragone: Trezor ha pubblicato un avviso sul proprio blog con numeri verificabili, BitBox ha risposto a un giornalista.

Chi è stato colpito

Il porto di Tanjung Pelepas, in Malesia, uno dei più grandi scali per container del mondo

Ultime informazioni verificate

Il porto ha confermato che un attacco ai suoi sistemi informatici ha fermato per diverse ore il terminal dei container, che ha ripreso a lavorare gradualmente dal 10 settembre. Maersk, che gestisce il porto insieme al gruppo malese MMC, ha avvisato che alcune navi potevano arrivare in ritardo. Nel 2025 lo scalo ha movimentato oltre 14 milioni di TEU, l'unità di misura che corrisponde a un container standard. Il porto dice di non avere prove che qualcuno abbia toccato i dati dei clienti, e l'autore dell'attacco non è stato identificato da fonti affidabili.

Ultime informazioni verificate

Il 9 settembre 2026 alle 22:37 CEST Trezor ha comunicato sul proprio account X ufficiale che «il nostro fornitore email di terze parti è stato violato» e che l'email intitolata «Critical Security Alert: STM32 Entropy Vulnerability» non proviene dall'azienda: è un tentativo di phishing, e non va cliccato nessun link. L'azienda ha aggiunto di aver fatto rimuovere il dominio e di stare indagando «anche su come gli attaccanti hanno ottenuto accesso al nostro dominio legittimo». È questo il punto che distingue il caso dal phishing ordinario: il messaggio non imitava il canale ufficiale, passava dal canale ufficiale. Secondo The Block e Cointelegraph l'email usava nomi di dominio e firme autentici, sosteneva falsamente un difetto di fabbrica nei microcontrollori STM32 capace di indebolire la generazione della frase di recupero su una quota dei dispositivi più recenti, e spingeva il destinatario verso una pagina di «verifica della vulnerabilità» costruita per raccogliere le parole di recupero. Trezor ha dichiarato che chiavi e fondi non sono stati esposti e, alla data di verifica, nessuna fonte ha confermato furti di fondi o di frasi di recupero. Lo stesso giorno anche BitBox ha segnalato una campagna identica partita dal proprio fornitore di newsletter, indicando come causa probabile un fornitore di posta condiviso fra più aziende bitcoin (voce nella scheda BitBox): la campagna è quindi una compromissione a monte di un canale di comunicazione, non un phishing generico contro il settore. È il secondo incidente da fornitore terzo per Trezor in poche settimane, dopo la fuga di dati ShipMonk di agosto riportata qui sotto; nessuna fonte ha collegato le due vicende. Al 10/9 l'indagine è dichiarata ancora aperta e non risulta pubblicato un rapporto conclusivo: non si sa quale fornitore sia stato violato, da quando, né quanti clienti abbiano ricevuto il messaggio. AGGIORNAMENTO DEL 10/9/2026 ORE 14:00 CEST: il nome del fornitore condiviso è stato reso pubblico, ma non da Trezor. Alle 23:32 CEST del 9/9 CoinTracking — servizio di rendicontazione fiscale delle criptovalute, non presente in questo registro — ha scritto sul proprio account X ufficiale che «il nostro fornitore di posta di terze parti Brevo ha subito una violazione di sicurezza», e ha segnalato una terza esca della stessa ondata, un'email intitolata «Data Breach Notice: Please refresh API Keys as soon as possible». È la prima e finora unica azienda colpita che fa il nome: Trezor e BitBox continuano a parlare di «fornitore di terze parti» senza nominarlo, e alle 12:00 UTC del 10/9 la pagina di stato di Brevo risulta «pienamente operativa» e non riporta alcun avviso di sicurezza. Sulle intestazioni del messaggio ricevuto dai clienti Trezor, Decrypt e Cryptopolitan riferiscono — sulla base di schermate di destinatari, non di una conferma aziendale — un mittente «Trezor Security <[email protected]>», un return-path [email protected], il percorso di campagna Sendinblue (nome precedente di Brevo) e il superamento dei controlli DKIM, SPF e DMARC. Se confermato, spiega perché il messaggio è entrato nella posta in arrivo come autentico: la firma crittografica era quella vera del dominio Trezor. Restano assenti conferme di furti di fondi o di frasi di recupero, e nessun rapporto conclusivo: alle 14:00 CEST del 10/9 l'ultimo intervento pubblico di Trezor resta quello delle 22:37 del 9/9, circa 15 ore prima. AGGIORNAMENTO DEL 12/9/2026 ORE 08:00 CEST — ORA IL NOME LO FA TREZOR, E I NUMERI CI SONO. Quanto scritto qui sopra al 10/9 («Trezor e BitBox continuano a parlare di fornitore di terze parti senza nominarlo») è superato: Trezor ha pubblicato sul proprio blog ufficiale un avviso intitolato «Security incident at Brevo, our third-party email provider», datato 10/9/2026, in cui nomina il fornitore e quantifica l'esposizione. Parole di Trezor: il 9/9 «Brevo, la piattaforma di marketing di terze parti che Trezor usa per le campagne newsletter, ha subito un incidente di sicurezza che ha riguardato 120 account Brevo», e «un attore non autorizzato ha ottenuto accesso al sistema di Brevo e lo ha usato per inviare email da vari account clienti, incluso quello di Trezor». LE CIFRE: l'incidente ha toccato il database della newsletter a iscrizione volontaria di Trezor, «circa 347.000 indirizzi email», che l'azienda tratta come esposti e riutilizzabili in futuri tentativi di phishing; 2.500 persone hanno cliccato il link prima che il dominio fosse disattivato, entro 20 minuti dalla rilevazione. Trezor precisa che il sistema di Brevo «non contiene password, dati di portafoglio o altre informazioni personali», che «nessun prodotto, portafoglio o sistema di account Trezor è stato toccato» e di aver sospeso il proprio account Brevo per fermare ulteriori invii. UN PUNTO RESTA APERTO, E LO DICE TREZOR: l'azienda dichiara di non poter confermare se la lista di indirizzi sia stata esportata. ANCHE BREVO HA PARLATO, ED È LA FONTE SUL MECCANISMO: il 10/9 Brevo ha pubblicato un rapporto post-incidente sulla propria pagina di stato, sotto il titolo «Attacker gained access to client accounts». Vi si legge che alle 06:30 UTC del 10/9 è stato individuato «un problema di sicurezza in cui un attaccante ha sfruttato una falla nel modo in cui Brevo gestisce il SAML SSO per ottenere accesso a 138 account Brevo». Il meccanismo, nelle parole di Brevo: l'attaccante ha creato un account Brevo, vi ha attivato il single sign-on e ha invitato utenti Brevo legittimi dentro quella configurazione, poi si è autenticato attraverso il proprio identity provider agendo come loro; l'accesso non era delimitato correttamente — invece di fermarsi alla sola organizzazione in cui l'SSO era attivo, «gli ha concesso erroneamente accesso a tutte le organizzazioni raggiungibili da quegli utenti». RIPARTIZIONE UFFICIALE DEI 138 ACCOUNT: 6 usati per inviare email di phishing ai contatti che vi erano archiviati, 43 con i contatti esportati, 93 senza attività significativa. Trezor è fra i 6 da cui sono partiti gli invii. Se sia anche fra i 43 con i contatti esportati non lo dice né Trezor né Brevo, ed è esattamente il punto che Trezor dichiara di non poter confermare: non lo deduciamo noi. NOTA SULLA DISCREPANZA 120/138: il numero più basso è quello di Trezor il 10/9, il più alto è quello di Brevo nel rapporto successivo; il dato buono è quello dell'operatore della piattaforma, 138. RIMEDIO: Brevo dichiara di aver chiuso il vettore d'attacco alle 08:30 UTC del 10/9 — due ore dopo l'individuazione —, di aver disconnesso tutti gli utenti della piattaforma, distribuito correzioni permanenti che limitano l'accesso SSO alla sola organizzazione proprietaria e disattivato i link contenuti nelle email di phishing. PERCHÉ ABBIAMO TOLTO «IN CORSO»: al 10/9 questa voce era marcata come evento in svolgimento. Non lo è più — il vettore è chiuso per dichiarazione dell'operatore, i domini di phishing sono stati rimossi, gli invii sono cessati. Resta aperto, e per questo la voce non è marcata come risolta, ciò che l'incidente si lascia dietro: circa 347.000 indirizzi in mano a qualcuno, nessuna conferma sull'eventuale esportazione della lista Trezor, nessun rapporto conclusivo di Trezor. Al 12/9 nessuna fonte — compresi BleepingComputer, SecurityWeek, Malwarebytes e The Record, che hanno seguito il caso — ha confermato furti di fondi o di frasi di recupero riconducibili a questa campagna. AGGIORNAMENTO DEL 12/9/2026 ORE 13:30 CEST — PRECISAZIONE SULLA POSIZIONE DI TREZOR. Sopra si legge che Trezor «dichiara di non poter confermare se la lista sia stata esportata»: è esatto, ma incompleto, e l'omissione è a sfavore dell'azienda. Nello stesso avviso del 10/9 Trezor aggiunge infatti quale conseguenza operativa ne trae, ed è la più prudente possibile: «finché non avremo notizie da Brevo, trattiamo tutti i circa 347.000 indirizzi della newsletter come noti all'attaccante e potenzialmente riutilizzabili per il phishing». Vale la pena scriverlo perché è esattamente la regola di condotta che questo registro raccomanda qui sotto, adottata dall'azienda per prima: l'incertezza sull'esportazione non viene usata per minimizzare l'accaduto. L'11/9 un portavoce Trezor ha ripetuto la stessa frase a Cointelegraph, confermando anche che «l'email iniziale è stata inviata a 347.000 clienti», tutti successivamente contattati riguardo al rischio.

Ultime informazioni verificate

Il 6/9/2026 alle 22:25 CEST Liquid Network ha confermato che ~4.000 BTC (~320 M$) sono usciti dal wallet della Federazione Liquid. RAPPORTO UFFICIALE SULL'INCIDENTE, 8/9/2026 ORE 19:10 UTC: dopo quasi 47 ore di silenzio, il canale ufficiale della rete ha pubblicato il primo rapporto della Federazione Liquid, che è ora la fonte autorevole sul meccanismo. Il rapporto dice che il 6/9 (blocco Liquid 4.050.336) è stata sfruttata una vulnerabilità del software open source Elements nel modo in cui i nodi Liquid mettono in cache le verifiche dei «rangeproof» — le prove crittografiche che un importo nascosto è legittimo — e che questo ha permesso di CREARE ~4.000 L-BTC non coperti da bitcoin in riserva. Gli autori hanno poi usato SideSwap, membro della Federazione che detiene una chiave di autorizzazione al peg-out (PAK), per convertire quegli L-BTC in BTC veri attraverso il normale meccanismo di peg-out. Poiché il difetto di validazione si è manifestato a livello di transazione, PRIMA che il peg-out partisse, sia il nodo di SideSwap sia i functionary distribuiti della rete hanno accettato quegli L-BTC come validi ed eseguito il peg-out come autorizzato: ~4.000 BTC sono usciti dall'indirizzo bitcoin whitelistato di SideSwap, che li ha inoltrati all'indirizzo indicato dagli autori. NESSUNA CHIAVE COMPROMESSA, e il rapporto è esplicito: i functionary non sono stati violati, nessuna chiave privata è stata compromessa, il meccanismo di peg-out ha funzionato come progettato. CIFRE UFFICIALI: prima dell'incidente la riserva teneva ~4.205 BTC; dopo questo peg-out e ULTERIORI peg-out processati prima del blocco delle operazioni la riserva è scesa a 197 BTC. Gli altri asset emessi su Liquid (USDT, DePix, RWA) non sono stati toccati dalla vulnerabilità, ma restano indisponibili finché la rete è ferma. L'indagine è ancora aperta: il rapporto parla del «concorso di più fattori singolarmente poco probabili» che ha superato le ridondanze del sistema, e promette altri dettagli. DUE IMPRECISIONI DEL RAPPORTO, rilevate da noi e risolte a favore della catena: il rapporto data l'exploit al blocco Liquid 4.050.336 «alle 15:53:10 UTC», ma quel blocco sulla catena porta l'orario 13:53:10 UTC — le 15:53 sono l'ora italiana, non UTC; e chiama «blocco Liquid 965.950» quello della restituzione, che è invece un blocco Bitcoin. Le date restano quelle, gli orari che pubblichiamo sono quelli letti sulla catena. LA TRATTATIVA: gli autori hanno lasciato un messaggio on-chain («we are whitehats») e, in uno scambio condotto via OP_RETURN e PGP, hanno chiesto che la falla fosse corretta e i nodi aggiornati prima di restituire i fondi; il 7/9 Blockstream ha risposto sullo stesso canale con un messaggio firmato PGP («i nodi bridge sono patchati, è sicuro restituire i fondi»). RESTITUZIONE PARZIALE, VERIFICATA ON-CHAIN E ORA CONFERMATA DAL RAPPORTO: il 7/9/2026 alle 16:09:25 UTC (blocco Bitcoin 965.950, transazione a6d697a2…c49a46d) l'indirizzo di consolidamento degli autori ha rimandato 3.400 BTC (~268 M$) al wallet della Federazione, trattenendo 598,5 BTC (~47 M$), pari al 15% del prelievo. Il rapporto ufficiale scrive che quei ~598,5 BTC restano da recuperare e che le discussioni con i responsabili sono in corso: nessun documento, di nessuna delle due parti, definisce quel 15% una taglia concordata. Al 9/9/2026 ore 08:15 UTC quei bitcoin non si sono ancora mossi, verificato da noi: il saldo dell'indirizzo degli autori è 598,50008953 BTC su 244 transazioni confermate, cresciuto solo di polvere inviata da terzi e senza nessuna uscita — sono fermi lì dal pagamento del 6/9 alle 14:28:56 UTC, cioè da oltre 65 ore; le riserve della Federazione restano a 3.597,47201026 BTC. PATCH E RIAVVIO, con le date del rapporto: la patch ai bridge node è stata completata il 7/9 alle 01:09 UTC, «la vulnerabilità non è più sfruttabile». Per riaccendere la rete serve però una RELEASE D'EMERGENZA di Elements, la v23.3.4, annunciata «il prima possibile, entro circa 48 ore» dalle 19:10 UTC dell'8/9 — quindi entro il 10/9 — e ancora in revisione interna ed esterna. Solo dopo i functionary faranno «ulteriori interventi» per ripristinare la piena funzionalità e riportare la rete allo stato corretto, «compreso il rifiuto del peg-out non valido»: l'obiettivo dichiarato è riaprire con la copertura 1:1 dei BTC, in coordinamento con l'autore dell'attacco. Chi gestisce un nodo Liquid deve attendere la release e seguire le istruzioni di aggiornamento; agli utenti il rapporto dice che al momento non serve fare nulla di preventivo. VERIFICATO DA NOI SUL REPOSITORY UFFICIALE DI ELEMENTS: sul ramo elements-23.3.x è stata integrata l'8/9/2026 alle 19:06:54 UTC la PR #1600 «sigcache: harden range proof cache keys and add -norangeproofcache option», insieme al bump di versione a 23.3.4 e alle manpage aggiornate. Il testo della correzione conferma il meccanismo dalla fonte primaria: le cache delle prove passano dalla concatenazione grezza SHA-256 a una scrittura con PREFISSO DI LUNGHEZZA per ogni campo, «così tuple di argomenti diverse con concatenazioni grezze identiche byte per byte non collidono più sulla stessa chiave di cache», e viene aggiunta l'opzione -norangeproofcache per disattivare la cache senza ricompilare. Da segnalare: la stessa correzione irrobustisce ANCHE la cache delle prove di suriezione (aggiungendo i vTags alla chiave), cioè una seconda cache con la stessa classe di debolezza. LA RELEASE È USCITA, VERIFICATA DA NOI SUL REPOSITORY UFFICIALE: elements-23.3.4 è stata pubblicata il 9/9/2026 alle 03:14:44 UTC, otto ore dopo il rapporto e con quasi quaranta ore di anticipo sul limite delle «circa 48 ore» che la Federazione si era data. Il tag era stato creato l'8/9 alle 19:07:52 UTC, due minuti prima che il rapporto uscisse. La release porta diciotto archivi (Linux, macOS, Windows, ARM, RISC-V, PowerPC) con i file SHA256SUMS e SHA256SUMS.asc per verificare le firme, e nel changelog c'è la PR #1600 insieme alle modifiche accumulate dalla 23.3.3. Due precisazioni che contano: su GitHub la 23.3.4 è marcata come PRE-RELEASE, cosa che la 23.3.3 non era, e il repository continua a non pubblicare nessun avviso di sicurezza formale. LA CORREZIONE ESISTEVA GIÀ PRIMA DELL'ATTACCO, e questo il rapporto ufficiale non lo dice: verificato da noi sul repository, il commit c26d719c «fix: range proof cache bind to asset and scriptpubkey», scritto il 3/8/2026 alle 10:53:50 UTC, è entrato nel ramo principale con la PR #1592 il 1/9/2026 alle 14:38:01 UTC, cinque giorni prima dell'exploit — ma non è mai finito in una release, e i nodi della Federazione giravano la 23.3.3 del 13/4/2026. Lo diciamo con la cautela che merita: è un intervento parziale sullo stesso file dell'irrobustimento definitivo (#1600), non la stessa correzione, e nessuno ha dimostrato che da solo avrebbe fermato l'attacco. Ma la cronologia è verificabile alla fonte ed è quella su cui la stampa (crypto.news, 8/9 ore 17:58 UTC) ha costruito la domanda ancora senza risposta: perché una correzione a quella cache stava nel ramo principale da giorni e non era in nessuna versione distribuita. UNA RELEASE NON È UN RIAVVIO: AL 9/9/2026 ORE 08:15 UTC LA RETE È ANCORA FERMA, verificato da noi: l'explorer di Blockstream è fermo al blocco 4.051.232 del 7/9 alle 04:49:10 UTC, cioè oltre 51 ore di stop su una catena che chiude un blocco al minuto. Cinque ore dopo la pubblicazione della release nessuno dei due canali ufficiali l'ha annunciata: @Liquid_BTC non pubblica nulla dal rapporto dell'8/9 e la pagina di stato di Blockstream è ferma all'avviso del 7/9 alle 00:14 UTC, con i «Public Bridge Nodes» tuttora in Major Outage — è il quarto nostro controllo di fila senza un aggiornamento su quella pagina, mentre i fatti nuovi passano dal repository e da X. Peg-out, depositi e prelievi di L-BTC restano sospesi sugli exchange. Le riserve della Federazione (3.597,47 BTC) restano sotto agli L-BTC in circolazione (~4.205 BTC prima dell'incidente): finché il residuo non rientra o non viene coperto la copertura non è piena, e nessuno ha ancora dichiarato chi la copre. Sul contorno del riavvio l'8/9 Samson Mow — CEO di JAN3 ed ex dirigente di Blockstream, non un portavoce dell'azienda — aveva indicato anche la risoluzione di una DIVERGENZA DELLA CATENA (chain split) creatasi durante il fermo (CoinDesk e Cointelegraph, 8/9/2026): il rapporto ufficiale non la menziona, ma la divergenza spiega un fatto che avevamo misurato per conto nostro, cioè due explorer di Liquid che indicano un ultimo blocco diverso (4.051.232 contro 4.050.335). La ricostruzione tecnica pubblicata da CertiK il 7-8/9 combacia con il rapporto ufficiale e aggiunge il dettaglio del come: la chiave della cache veniva costruita concatenando campi di lunghezza variabile senza delimitarli, così due insiemi di dati diversi potevano produrre la stessa voce; preparata la cache con transazioni innocue, la transazione di inflazione trovava la voce già presente, riceveva un «già verificato» e la prova non veniva mai controllata davvero. Restano le nostre due cautele: CertiK dichiara sul proprio sito una partnership ufficiale con Liquid dal 2020, quindi non è un terzo indipendente, e scriveva essa stessa che il collegamento con quel codice era una deduzione perché «i binari effettivamente in esecuzione sui singoli functionary non sono stati pubblicati» — deduzione che il rapporto ufficiale e la PR #1600 ora confermano nella sostanza. Blockstream in proprio non ha pubblicato un post-mortem: il rapporto dell'8/9 è della Federazione, sul canale della rete, e Blockstream si è fermata al comunicato dell'8/9 ore 01:00 UTC in cui si presenta come «fornitore tecnico» di Liquid. VERIFICATO DA NOI SULLA CATENA: i due peg-out stanno nel blocco Liquid 4.050.349 del 6/9 alle 14:06:10 UTC (2,65138358 e 3.996,01834922 L-BTC) e il pagamento in bitcoin nel blocco 965.783 del 6/9 alle 14:28:56 UTC, con 3.995,99999857 BTC finiti sull'indirizzo di consolidamento degli autori; il blocco dell'inflazione indicato dal rapporto, il 4.050.336, è del 6/9 alle 13:53:10 UTC, tredici minuti prima del peg-out. Perimetro per Jade: il dispositivo, il firmware e le chiavi degli utenti non sono in discussione e la parte Bitcoin del wallet funziona normalmente — a essere ferma è la funzione Liquid, che questa scheda elenca fra i punti di forza del prodotto. SVOLTA DEL 9/9/2026: GLI AUTORI ROMPONO IL SILENZIO CON UNA RICHIESTA E UNA MINACCIA, VERIFICATO DA NOI SULLA CATENA. Alle 10:16:13 UTC del 9/9 è comparsa in mempool una transazione bitcoin (txid f7055f6c…e579588) firmata dalle chiavi che controllano i fondi trattenuti: 29 input per 598,50014053 BTC, con 598,50010393 BTC rimandati allo STESSO indirizzo degli autori, 1.000 satoshi all'indirizzo del wallet della Federazione e un messaggio in chiaro nel campo OP_RETURN. ATTENZIONE ALLA NATURA DEL MOVIMENTO: non è un'uscita e non è una restituzione, è un consolidamento su sé stessi che serve a trasportare il messaggio — i 598,5 BTC restano dove erano. AL MOMENTO DEL NOSTRO CONTROLLO (9/9 ore 11:30 UTC) LA TRANSAZIONE ERA ANCORA NON CONFERMATA: paga circa 1 satoshi per vbyte, una commissione bassissima, quindi può restare in attesa a lungo o essere sostituita. Lo scriviamo con questa cautela perché è un fatto verificabile alla fonte primaria — chiunque può leggerlo sulla catena — ma non è ancora inciso in un blocco. IL TESTO, tradotto e riportato per intero: «La vostra negligenza è evidente: avete stanziato solo 1,5 milioni di dollari (forse perfino zero) per proteggere 5 miliardi di asset. È una trascuratezza flagrante della sicurezza e un segno di gestione completamente fallimentare. DOVRETE pagare il 10% di tasca vostra come bug bounty, altrimenti causerete a tutti i vostri possessori una perdita del 15% per la vostra irresponsabilità e tirchieria. Persino le aziende che hanno programmi di bug bounty non possono garantire una sicurezza completa, figurarsi una come la vostra, che resta delirante, avida e arrogante fino a oggi. In ogni caso pubblicheremo poi la chiave privata per decifrare le nostre conversazioni.» È un cambio di registro rispetto al «we are whitehats» del 6/9: una richiesta esplicita di denaro rivolta a Blockstream, accompagnata da una minaccia riferita ai possessori e dall'annuncio che il carteggio riservato verrà reso pubblico. Nessuna delle due controparti ha risposto pubblicamente al momento del nostro controllo, e nessuna fonte ufficiale o testata ha ancora commentato il messaggio. LA TRATTATIVA RICOSTRUITA SULLA CATENA, messaggio per messaggio, tutti firmati dall'indirizzo degli autori (verifica nostra, orari UTC): 6/9 18:30:10 «we are whitehats. contact us on chain»; 7/9 02:20:18 «sending most back to bc1qdlld6…, is that ok»; 7/9 03:30:05 «Please fix the bug first. The chain is under risk at latest commit right now. Make sure every node is patched. Then we will transfer the money back safely after confirming the fix», con allegato PGP cifrato con la chiave pubblicata su blockstream.com/pgp.txt; 7/9 12:43:33 «plz confirm again that we are sending the coins back to bc1qdlld6…»; poi altri messaggi PGP il 7/9 alle 15:31:46 e alle 18:35:17; alle 21:03:23 del 7/9 un solo carattere, «:(»; ancora PGP l'8/9 alle 09:41:24 e alle 14:25:31, quest'ultimo accompagnato dalla frase «All messages will be in plaintext» — che spiega perché la richiesta del 9/9 arriva in chiaro. Il canale, quindi, è rimasto aperto per tutto il periodo in cui i canali pubblici tacevano. UN AVVERTIMENTO SUL CANALE STESSO: l'indirizzo degli autori è pubblico e chiunque può scrivergli mandando polvere con un OP_RETURN, e infatti lo stanno facendo — al nostro controllo in mempool c'erano messaggi di terzi con consigli su come riciclare i fondi, una richiesta di elemosina da 10 BTC e testi del tutto fuori tema. Non tutti i «messaggi on-chain» che circoleranno in screenshot vengono dagli autori o da Blockstream: valgono solo quelli firmati dagli indirizzi coinvolti. AGGIORNAMENTO DEI SALDI AL 9/9 ORE 11:30 UTC, verificato da noi: l'indirizzo degli autori tiene 598,50017329 BTC su 258 transazioni confermate (erano 598,50008953 su 244 al nostro controllo delle 08:15 UTC); la crescita è tutta polvere ricevuta da terzi e non c'è ancora nessuna uscita — quei bitcoin sono fermi lì dal pagamento del 6/9 alle 14:28:56 UTC, cioè da oltre 69 ore. Le riserve della Federazione salgono a 3.601,47201426 BTC: sono entrati 4,000004 BTC che al controllo precedente erano ancora in mempool e che avevamo deliberatamente tenuti fuori dalla scheda finché non confermavano; non c'è nessuna dichiarazione che li accompagni, la lettura più semplice resta un peg-in ordinario. LA RETE È ANCORA FERMA: al 9/9 ore 11:30 UTC l'explorer di Blockstream è sempre al blocco 4.051.232 del 7/9 alle 04:49:10 UTC, oltre 54 ore di stop su una catena che chiude un blocco al minuto, e sono cinque i nostri controlli consecutivi sullo stesso numero. La release 23.3.4 c'è da oltre otto ore ma resta marcata come PRE-RELEASE sul repository ufficiale, dove continua a non comparire nessun avviso di sicurezza formale. Nessuno dei canali ufficiali si è mosso: @Liquid_BTC non pubblica nulla dal rapporto dell'8/9 alle 19:10 UTC e non ha mai annunciato la release che aveva promesso, @Blockstream è fermo al comunicato dell'8/9 alle 01:00 UTC, e la pagina di stato di Blockstream tiene sette componenti in Major Outage senza un aggiornamento dal 7/9 alle 00:14 UTC — è il quinto nostro controllo di fila. LE TRUFFE SONO GIÀ PARTITE, SULLO STESSO CANALE E VERIFICATE DA NOI SULLA CATENA: l'indirizzo del wallet della Federazione riceve da giorni messaggi di terzi che sfruttano il caso, e sono leggibili da chiunque. Il 9/9 alle 08:30:06 UTC è stato scritto in un OP_RETURN un annuncio che promette di «raddoppiare i tuoi bitcoin» rimandando a un sito che imita il nome degli autori dell'attacco (whitehats.live): è una truffa classica del raddoppio, il sito non va aperto e non va inviato nulla. L'8/9 alle 00:43:32 UTC un altro messaggio offriva servizi di riciclaggio via Telegram; il 7/9 alle 10:46:03 UTC due messaggi invitavano a mandare fondi a un indirizzo bitcoin di terzi spacciandolo per quello dei «white hats»; il 7/9 e ancora il 9/9 è stato pubblicizzato un memecoin creato sulla vicenda. Nessuno di questi messaggi ha alcun rapporto con Blockstream, con la Federazione o con gli autori dell'exploit: sono estranei che scrivono su un canale pubblico. È la conferma pratica dell'avvertenza qui sopra — su quella catena può scrivere chiunque, e i primi a sfruttarlo sono i truffatori. AGGIORNAMENTO DEL 9/9/2026 ORE 17:45 UTC — LA RELEASE VIENE ANNUNCIATA UFFICIALMENTE E ARRIVA UN PIANO DI RIAVVIO IN TRE FASI. Prima una correzione che dobbiamo a noi stessi: la transazione con la richiesta della taglia, che al controllo precedente avevamo pubblicato dichiarandola ANCORA NON CONFERMATA, ha confermato — è nel blocco Bitcoin 966.199 del 9/9 alle 11:45:49 UTC, un'ora e mezza dopo essere comparsa in mempool. La cautela che avevamo scritto decade: il messaggio è ora inciso nella catena e chiunque può rileggerlo lì. COMUNICATO UFFICIALE DI @Liquid_BTC, 9/9 ORE 13:30 UTC (pubblicato alle 14:36 UTC): è il primo annuncio ufficiale della release, arrivato quasi undici ore dopo che noi l'avevamo trovata sul repository. Dice che la release d'emergenza Elements v23.3.4 è disponibile, che i nodi functionary vengono aggiornati immediatamente e che tutti i gestori di nodi Liquid sono invitati a fare lo stesso; che la release «risolve la vulnerabilità della cache di verifica delle prove, irrobustendo le chiavi di cache usate per i rangeproof» — la conferma ufficiale, dalla fonte, di quello che avevamo letto nella PR #1600; e che il codice è passato per «più cicli di revisione interna ed esterna», con il ringraziamento esplicito a Bitcoin Red Team e Alpen Labs. Verificato da noi sul repository: la 23.3.4 NON è PIÙ MARCATA COME PRE-RELEASE (lo era ancora al nostro controllo delle 11:35 UTC), mentre la sezione degli avvisi di sicurezza di ElementsProject/elements resta vuota anche adesso. IL PIANO DI RIPRISTINO, per la prima volta scritto per fasi: (1) riprendere la produzione dei blocchi tenendo sospese le operazioni di peg; (2) rieseguire le transazioni verificate come valide; (3) riaprire le operazioni di peg «una volta che lo stato della rete sarà stato pienamente ripristinato, COMPRESA UNA RESTITUZIONE DEI FONDI». Blockstream dichiara di stare collaudando in parallelo le procedure delle prime due fasi, avverte che ordine e attuazione possono cambiare in corsa e che nessuna fase parte «finché non è considerata sicura». È il passaggio che pesa di più per chi detiene L-BTC, e va letto per quello che dice: la riconversione in BTC non torna con il riavvio della catena, ma solo alla terza fase, e il comunicato la lega esplicitamente al rientro dei fondi — cioè ai 598,5 BTC che a oggi non sono rientrati e sui quali c'è una richiesta di denaro non accolta. Nessuna data è stata indicata per nessuna delle tre fasi. ALLARME PHISHING UFFICIALE DI @Blockstream, 9/9 ORE 17:00 UTC, quarantacinque minuti prima di questo controllo: è il primo avviso dedicato alle truffe e conferma dal lato dell'azienda quello che stavamo già misurando sulla catena. Dice che dei truffatori si stanno spacciando per Liquid e per Blockstream spingendo gli utenti a «fare qualcosa», e che Blockstream non chiederà MAI la frase di recupero o il PIN, non chiederà mai di inviare fondi e non fornirà mai un link per aggiornare il software. L'elenco ufficiale di ciò che non si fa mai: inviare fondi a un indirizzo di «recupero»; digitare la propria seed su un sito di «migrazione»; installare firmware o software da un link ricevuto per email; rispondere a messaggi privati non richiesti. E l'elenco ufficiale di ciò che va trattato come truffa: email e portali di «aggiornamento di sicurezza obbligatorio», siti di rimborso, di «ri-peg» o di «reclama i tuoi L-BTC», finti messaggi dell'assistenza, domini che imitano quelli veri e proposte non richieste di «white hat» o di taglie. Per gli aggiornamenti verificati Blockstream indica solo blockstream.com e l'app ufficiale dagli store ufficiali. LA RICHIESTA DEL 10% RESTA SENZA RISPOSTA, verificato da noi sulla catena e non solo sui canali pubblici: abbiamo riscandito le transazioni dell'indirizzo del wallet della Federazione e la Federazione non ha firmato NESSUN messaggio on-chain, né in risposta alla richiesta né prima; e dalla parte degli autori non è comparso nessun nuovo messaggio firmato dopo quello delle 11:45:49 UTC. Nessuno dei due comunicati ufficiali di oggi nomina la richiesta della taglia, la minaccia della «perdita del 15%» o l'annuncio della pubblicazione del carteggio: su quel punto, a sei ore di distanza, non c'è ancora una parola pubblica di Blockstream o della Federazione. SALDI AL 9/9 ORE 17:45 UTC, verificato da noi: l'indirizzo degli autori tiene 598,50022061 BTC su 273 transazioni confermate (erano 598,50017329 su 258 alle 11:30 UTC); la crescita è di nuovo solo polvere ricevuta da terzi e non c'è ancora nessuna uscita — quei bitcoin sono fermi dal 6/9 alle 14:28:56 UTC, cioè da oltre 75 ore. Le riserve della Federazione sono 3.601,47203226 BTC, cresciute di 1.800 satoshi di sola polvere: nessun nuovo rientro. LA RETE È ANCORA FERMA: l'explorer di Blockstream è sempre al blocco 4.051.232 del 7/9 alle 04:49:10 UTC, cioè 60 ore e 56 minuti di stop su una catena che chiude un blocco al minuto, ed è il sesto nostro controllo consecutivo sullo stesso numero. La release annunciata non ha ancora prodotto un riavvio. La pagina di stato di Blockstream, nonostante i due comunicati su X, resta ferma all'avviso del 7/9 alle 00:14 UTC con Liquid e i Public Bridge Nodes in Major Outage: è il sesto controllo di fila senza un rigo su quella pagina. IL CANALE ON-CHAIN È DEGENERATO, e conviene saperlo prima di credere a uno screenshot. Nelle ultime sei ore, sugli indirizzi coinvolti, abbiamo contato: la ripetizione insistente della truffa del raddoppio dei bitcoin che imita il nome degli autori (sei nuovi messaggi identici, l'ultimo alle 17:45:28 UTC), la promozione di un servizio di mixing, consigli non richiesti su come riciclare i fondi, richieste di elemosina, un messaggio in cui un anonimo SI SPACCIA PER L'AMMINISTRATORE DELEGATO di Blockstream, e una serie di messaggi anonimi che accusano nominativamente dirigenti reali dell'azienda di aver orchestrato il furto, arrivando a pubblicare un presunto indirizzo di casa e insulti personali. Su questi ultimi siamo espliciti: sono affermazioni anonime, non verificate e non sostenute da nessuna fonte, non le riportiamo e non vanno prese per fatti — chiunque può scrivere qualunque cosa su quel canale pagando pochi satoshi, ed è esattamente quello che sta succedendo. Sono comparsi anche messaggi di persone che dichiarano di avere fondi bloccati in L-BTC e chiedono pubblicamente la restituzione: sono voci di utenti, non fatti verificabili sul servizio, e le registriamo come tali. AGGIORNAMENTO DEL 10/9/2026 ORE 01:45 CEST (9/9 ORE 23:45 UTC) — SETTIMO CONTROLLO CONSECUTIVO, LA PRIMA FASE DEL RIAVVIO NON È PARTITA. Nelle sei ore successive all'annuncio del piano in tre fasi non è cambiato niente di quello che si può misurare. LA RETE È ANCORA FERMA: l'explorer di Blockstream è sempre al blocco 4.051.232 del 7/9 alle 04:49:10 UTC, cioè 66 ore e 56 minuti di stop su una catena che chiude un blocco al minuto, ed è il settimo nostro controllo consecutivo sullo stesso numero. La prima delle tre fasi annunciate — riprendere la produzione dei blocchi con i peg ancora sospesi — non è quindi iniziata, e nessuna fase ha una data. SALDI AL 9/9 ORE 23:45 UTC, verificato da noi: l'indirizzo degli autori tiene 598,50038739 BTC su 285 transazioni confermate (erano 598,50022061 su 273 alle 17:45 UTC); la crescita è ancora una volta solo polvere ricevuta da terzi e non c'è nessuna uscita — quei bitcoin sono fermi dal 6/9 alle 14:28:56 UTC, cioè da oltre 81 ore. Le riserve della Federazione restano a 3.601,47203226 BTC, identiche al controllo precedente: nessun nuovo rientro, nemmeno di polvere. LA RICHIESTA DEL 10% RESTA SENZA RISPOSTA, e lo abbiamo verificato sulla catena e non solo sui canali pubblici: l'indirizzo della Federazione non ha firmato nessun messaggio, e dall'indirizzo degli autori non è partito nessun nuovo messaggio firmato dopo quello delle 11:45:49 UTC. Sul repository ufficiale di Elements non c'è nessun commit nuovo dal 4/9 e LA SEZIONE DEGLI AVVISI DI SICUREZZA È ANCORA VUOTA, a venti ore dalla pubblicazione della release. La pagina di stato di Blockstream è ferma all'avviso del 7/9 alle 00:14 UTC: settimo controllo di fila senza un rigo, mentre i comunicati continuano a passare solo da X. Sugli indirizzi coinvolti il rumore prosegue identico — la truffa del raddoppio dei bitcoin, la pubblicità di servizi di mixing, le richieste di elemosina, anonimi che si propongono come «mediatori» fra le parti e presunti utenti con fondi bloccati che chiedono la restituzione: nessuna di queste voci è verificata e nessuna va presa per un fatto. AGGIORNAMENTO DEL 10/9/2026 ORE 07:30 CEST (05:30 UTC), verificato da noi in prima persona: LA SIDECHAIN HA SUPERATO I TRE GIORNI DI FERMO. L'altezza della catena Liquid è ancora 4.051.232 — ottavo controllo consecutivo sullo stesso numero — e l'ultimo blocco resta quello del 7/9 alle 04:49:10 UTC: fanno 72 ore e 41 minuti. La prima delle tre fasi annunciate il 9/9, riprendere la produzione dei blocchi con i peg ancora sospesi, non è dunque iniziata, e nessuna fase ha ancora una data. SALDI AL 10/9 ORE 05:30 UTC: l'indirizzo degli autori tiene 598,50040069 BTC su 287 transazioni confermate più 6 in mempool (erano 598,50038739 su 285); l'aumento è ancora solo polvere ricevuta da terzi e non risulta nessuna uscita — quei bitcoin sono fermi dal 6/9 alle 14:28:56 UTC, cioè da oltre 87 ore. Le riserve della Federazione restano a 3.601,47203226 BTC, identiche al satoshi per il secondo controllo di fila: sull'indirizzo non è arrivato nulla dal 9/9 alle 17:45:28 UTC, quasi dodici ore di silenzio completo. LA RICHIESTA DEL 10% RESTA SENZA RISPOSTA, e anche stavolta lo abbiamo verificato sulla catena: l'indirizzo della Federazione non compare fra gli input di nessuna transazione e non ha quindi firmato nessun messaggio, e dall'indirizzo degli autori non è partito nessun nuovo messaggio firmato. Sul repository ufficiale di Elements non c'è nessun commit nuovo dal 4/9 e LA SEZIONE DEGLI AVVISI DI SICUREZZA È ANCORA VUOTA, a oltre ventisei ore dalla pubblicazione della release stabile 23.3.4. La pagina di stato di Blockstream è ferma all'avviso del 7/9 alle 00:14 UTC, ottavo controllo di fila senza un rigo, e l'ultimo comunicato su X è quello delle 13:30 UTC del 9/9: sedici ore senza aggiornamenti. Sugli indirizzi coinvolti il rumore prosegue: nella notte è comparso un messaggio firmato con PGP e la pubblicità di un profilo X, inviato però da terzi e non dagli autori dell'attacco — nessuna di queste voci è verificata e nessuna va presa per un fatto. AGGIORNAMENTO DEL 10/9/2026 ORE 14:00 CEST (12:00 UTC), verificato da noi in prima persona: NIENTE È RIPARTITO. L'altezza della catena Liquid è ancora 4.051.232 — nono controllo consecutivo sullo stesso numero — e l'ultimo blocco resta quello del 7/9 alle 04:49:10 UTC: fanno 79 ore e 14 minuti, oltre tre giorni e sette ore. LA FASE 1 DEL PIANO ANNUNCIATO IL 9/9 — riprendere la produzione dei blocchi con i peg ancora sospesi — NON È ANCORA INIZIATA, e nessuna delle tre fasi ha una data. SALDI AL 10/9 ORE 12:00 UTC: l'indirizzo degli autori tiene 598,50043115 BTC su 291 transazioni confermate più 6 in mempool (erano 598,50040069 su 287); l'aumento è di nuovo solo polvere ricevuta da terzi e non risulta nessuna uscita — quei bitcoin sono fermi dal 6/9 alle 14:28:56 UTC, cioè da oltre 93 ore. Le riserve della Federazione sono a 3.601,47203772 BTC: l'unico movimento dal controllo precedente è un versamento di 546 satoshi arrivato alle 11:38:13 UTC del 10/9, polvere da terzi, non un rientro. LA RICHIESTA DEL 10% RESTA SENZA RISPOSTA e anche stavolta lo abbiamo verificato sulla catena: l'indirizzo della Federazione non compare fra gli input di nessuna delle sue transazioni, quindi non ha mai firmato un messaggio, e dall'indirizzo degli autori non è partito nessun nuovo messaggio firmato. Sul repository ufficiale di Elements non c'è nessun commit nuovo dal 4/9 e LA SEZIONE DEGLI AVVISI DI SICUREZZA È ANCORA VUOTA, a oltre trentadue ore dalla pubblicazione della release stabile 23.3.4. La pagina di stato di Blockstream è ferma all'avviso del 7/9 alle 00:14 UTC, nono controllo di fila senza un rigo, e l'ultimo comunicato su X resta quello delle 13:30 UTC del 9/9: circa ventidue ore di silenzio ufficiale. Sugli indirizzi coinvolti il rumore prosegue e cambia forma — nella notte e in mattinata sono comparsi versi in rima che chiedono l'elemosina, consigli non richiesti su come riciclare i fondi, attacchi anonimi contro altri progetti e la solita pubblicità di servizi di mixing — ma tutto inviato da terzi, non dagli autori: nessuna di queste voci è verificata e nessuna va presa per un fatto. AGGIORNAMENTO DEL 10/9/2026 ORE 22:00 CEST (20:00 UTC) — LA RETE È RIPARTITA, E LA NOSTRA MISURA PRECEDENTE ERA SBAGLIATA: LA CORREGGIAMO QUI. Verificato da noi sulla catena: l'ultimo blocco prima del fermo è il 4.050.335 del 6/9 alle 13:52:10 UTC, il primo blocco dopo il fermo è il 4.050.336 del 9/9 alle 21:05:10 UTC. Il blocco della sidechain è quindi durato 79 ore e 13 minuti ed È FINITO LA SERA DEL 9/9, non è più in corso. Gli aggiornamenti che abbiamo pubblicato il 9 e il 10 settembre dicevano che la catena era ancora ferma e che la prima fase del riavvio non era partita: quella misura veniva dall'explorer di Blockstream, che durante l'interruzione ha continuato a restituire come ultima altezza il blocco 4.051.232 con orario 7/9 04:49:10 UTC. La divergenza fra i due explorer, che avevamo segnalato fin dal primo giorno proprio per non spacciare per catena ferma un explorer fermo, si è ora risolta a favore di liquid.network, che indicava correttamente il 4.050.335 del 6/9: oggi anche l'API di Blockstream mostra il salto 4.050.335 → 4.050.336 e conferma le date di liquid.network. COSA È SUCCESSO SULLA CATENA, ORA PER ORA, VERIFICATO DA NOI. Alla ripartenza, i primi blocchi hanno smaltito un arretrato: il 4.050.337 delle 21:11:10 UTC contiene 329 transazioni, il 4.050.338 delle 21:16:10 ne contiene 83, il 4.050.339 delle 21:17:10 ne contiene 40. Subito dopo, e per tutta la notte e la mattina, i blocchi sono usciti VUOTI — un blocco al minuto contenente la sola transazione di servizio, nessuna transazione di utenti: è esattamente la fase descritta dal comunicato ufficiale delle 10:00 UTC del 10/9, «la produzione dei blocchi è ripresa senza transazioni». Le transazioni degli utenti ricompaiono con il blocco 4.051.244 delle 12:31:10 UTC del 10/9; dalle 16:47 UTC in poi, sui campioni che abbiamo controllato, TUTTI i blocchi contengono transazioni reali. Controprova diretta sul blocco 4.051.689 delle 19:56:10 UTC: una transazione di servizio più cinque transazioni ordinarie con commissione, a più ingressi e più uscite. La rete sta lavorando. I DUE COMUNICATI UFFICIALI DI OGGI. Alle 10:00 UTC la pagina di stato di Blockstream si è finalmente mossa dopo tre giorni di immobilità — era ferma all'avviso del 7/9 alle 00:14 UTC — con il titolo «OPERATIONS RESUMED, RECOVERY ONGOING»: dice che la rete è entrata nella fase successiva della ripartenza controllata, che gli aggiornamenti dei functionary e dei bridge node sono stati installati con successo, che i functionary firmano e validano i blocchi come previsto, e che «le operazioni di peg, compresi i peg-out autorizzati da PAK, restano sospese» mentre prosegue l'ultima fase del recupero, cioè il ripristino della riserva BTC/L-BTC. Sulla stessa pagina i componenti «Liquid» e «Public Bridge Nodes» sono passati da Major Outage a PARTIAL OUTAGE. Poi, alle 19:55 UTC (pubblicato alle 20:04 UTC), il canale ufficiale della rete ha diffuso il secondo aggiornamento della giornata, intitolato «TRANSACTIONS RESUMED, PEG-OUTS DISABLED»: «le transazioni sulla rete sono riprese, mentre i peg-out restano disabilitati per precauzione mentre prosegue la fase finale del recupero». Il comunicato aggiunge che sono in corso «test rigorosi, scansione del codice assistita dall'intelligenza artificiale e monitoraggio continuo della rete» da parte di squadre interne ed esterne, che altre informazioni sulla riapertura dei peg-out arriveranno quando disponibili, che gli utenti non devono fare nulla in questo momento e che chi gestisce un nodo Liquid deve aggiornare subito a Elements v23.3.4. COSA NON È CAMBIATO. I fondi non si sono mossi: l'indirizzo degli autori tiene 598,50044115 BTC su 292 transazioni confermate più 6 in mempool (erano 598,50043115 su 291), l'aumento è di nuovo mille satoshi di sola polvere ricevuta da terzi e non risulta nessuna uscita. Le riserve della Federazione sono a 3.601,47203772 BTC su 590 transazioni, identiche al satoshi e alla transazione rispetto al controllo precedente. La richiesta di una taglia del 10% resta senza risposta pubblica. Sul repository ufficiale di Elements la sezione degli avvisi di sicurezza È ANCORA VUOTA, a oltre quarantuno ore dalla pubblicazione della release stabile 23.3.4, e non c'è nessun commit nuovo su master dal 4/9. Il ripristino della riserva BTC/L-BTC è dichiarato «in corso» e non è stata indicata nessuna data per la riapertura dei peg-out: per questo l'incidente resta aperto e segnato come in corso, anche se la rete ha ripreso a funzionare. AGGIORNAMENTO DELL'11/9/2026 ORE 01:30 CEST: IL PRIMO IMPEGNO CON NOME E COGNOME SULLA COPERTURA DEL PEG. Il 10/9 alle 11:02 UTC (13:02 CEST) Adam Back — cofondatore e amministratore delegato di Blockstream, account @adam3us — ha scritto su X: «@Liquid_BTC network resumption coming up. obvious question will LBTC:BTC 1:1 peg be covered; answer YES, so do not panic sell OTC as @PabloSGreco and team are working on more system updates to resume the peg in/out, which happens in a later step». In italiano: la ripartenza della rete è imminente; alla domanda ovvia, se il rapporto 1:1 fra L-BTC e BTC sarà coperto, la risposta è SÌ, quindi «non vendete in preda al panico sull'OTC» mentre Pablo S. Greco e il suo gruppo lavorano agli aggiornamenti che serviranno a riaprire peg-in e peg-out, «cosa che avviene in una fase successiva». È la prima volta che qualcuno con un nome e un ruolo si assume pubblicamente la copertura del buco, ed è la risposta al punto che sorvegliavamo dal 7/9. Va detto con altrettanta precisione che cosa NON è: non è un rimborso, non è una riserva ricostituita, non è una cifra e non è una data. Non dice chi mette i 598,5 BTC mancanti né quando, non è accompagnato da una prova di riserva pubblicata, e non è stato ripreso dal canale ufficiale della rete: il comunicato di @Liquid_BTC delle 19:55 UTC, quasi nove ore dopo, continua a parlare del ripristino della riserva come di un lavoro «in corso». Registriamo anche un nostro ritardo, perché è parte del racconto: la dichiarazione è delle 11:02 UTC e i nostri due run successivi, delle 14:00 e delle 22:15 CEST del 10/9, non l'avevano vista. Alle 20:50 UTC (22:50 CEST) dello stesso 10/9 Back ha aggiunto, rispondendo a un commento, la logica delle priorità: «capiamo che le entità regolamentate e le funzioni di mercato ne hanno bisogno, quindi ci siamo concentrati prima sulla fase di ripartenza, per rimettere online più in fretta asset, titoli, note eccetera, e ovviamente gli utenti delle stablecoin e le altre funzioni di swap»: conferma dalla voce più alta che peg-in e peg-out sono l'ultima fase, e di nuovo senza data. LE VERIFICHE DI STANOTTE. La rete lavora: alle 23:34:10 UTC del 10/9 la punta della catena è il blocco 4.051.907, un blocco al minuto, e i campioni che abbiamo aperto lungo la serata contengono tutti transazioni vere (blocco 4.051.750 delle 20:57 UTC, 6 transazioni; 4.051.800 delle 21:47, 5; 4.051.850 delle 22:37, 10; 4.051.900 delle 23:27, 5). I fondi non si sono mossi: l'indirizzo degli autori tiene 598,50048115 BTC su 296 transazioni confermate (erano 598,50044115 su 292), quattromila satoshi in più di sola polvere ricevuta da terzi e nessuna uscita; le 28 transazioni ora in mempool, contro le 6 del controllo precedente, sono altra polvere in entrata per pochi centesimi complessivi, non un movimento. Le riserve della Federazione restano 3.601,47203772 BTC su 590 transazioni, identiche al satoshi e alla transazione. La pagina di stato di Blockstream non si muove dal comunicato delle 10:00 UTC e tiene «Liquid» e «Public Bridge Nodes» in Partial Outage; @Liquid_BTC non ha pubblicato nulla dopo le 19:55 UTC e @Blockstream nulla dopo l'8/9. Sul repository ufficiale di Elements la release 23.3.4 risulta stabile e non più pre-release, ma la sezione degli avvisi di sicurezza È ANCORA VUOTA a oltre quarantaquattro ore dalla pubblicazione, e su master non c'è un commit nuovo dal 4/9: a cinque giorni dall'incidente non esiste ancora un avviso formale scritto sul software che l'ha reso possibile. L'incidente resta aperto e segnato come in corso: i peg-out sono disabilitati per dichiarazione ufficiale, la riserva non è ricostituita e una promessa di copertura, per quanto autorevole, non è una copertura. AGGIORNAMENTO DELL'11/9/2026 ORE 08:45 CEST — BLOCKSTREAM DICE NO AL RISCATTO E SMETTE DI CHIAMARLI WHITE HAT. Alle 07:25 CEST (05:25 UTC) dell'11/9 l'account ufficiale @Blockstream ha pubblicato, fissandolo in cima al profilo, il primo messaggio rivolto direttamente agli autori del prelievo, ed è il fatto nuovo più pesante dal rapporto della Federazione dell'8/9. Le parole sono queste: «Blockstream non pagherà un riscatto per la restituzione dei fondi rubati. Prendere asset senza autorizzazione e trattenerne la restituzione è un reato, non una divulgazione responsabile. Non è attività white-hat. È un furto». La società aggiunge di aver trattato «in buona fede» per ottenere la restituzione dei fondi degli utenti, ma che quello sforzo «non va scambiato per accettazione delle azioni compiute né dei termini che vengono richiesti»: è la prima ammissione ufficiale che una richiesta economica c'è stata ed è tuttora sul tavolo. Blockstream dice di non voler creare il precedente per cui chi sviluppa software open source per la comunità Bitcoin debba pagare «un riscatto che eccede di molto la sua partecipazione economica», e scrive una frase che riguarda direttamente chi detiene L-BTC: «Bitcoin è moneta forte e non si può coniare senza costi, Bitcoin non applica un taglio agli utenti per pagare un riscatto». Agli autori lascia una porta aperta — «i bitcoin possono essere restituiti e si può tornare allo standard dei principi white-hat» — e in caso contrario annuncia che percorrerà «ogni via legale disponibile», lavorando con forze dell'ordine, exchange, fornitori di servizi e specialisti forensi per tracciare i fondi e identificare i responsabili. Il messaggio si chiude con «non pagheremo per la restituzione di proprietà rubata, non abbandoneremo i nostri utenti» e con l'imperativo «restituite i bitcoin». CHE COSA CAMBIA DAVVERO, E CHE COSA NO. Cambia la cornice: fino a ieri il caso viveva sotto l'etichetta «presunti white hat» usata dal primo comunicato del 6/9, e la richiesta di taglia del 10% arrivata via messaggio on-chain non aveva mai ricevuto una risposta pubblica; da oggi la risposta c'è, è un no, ed è scritta dall'operatore della rete. Cambia anche lo scenario di recupero: se gli autori non restituiscono spontaneamente, i 598,5 BTC non tornano per accordo ma per via giudiziaria o forense, che è una strada lunga e senza esito garantito. NON cambia nulla di operativo: i peg-out restano disabilitati, la riserva non è ricostituita, non c'è una data. E resta scoperto il punto che conta per chi tiene L-BTC: il 10/9 l'amministratore delegato Adam Back ha promesso che il peg 1:1 «sarà coperto» e oggi la società dice che non pagherà gli autori — le due cose stanno insieme solo se i 598,5 BTC li mette qualcun altro, e nessuno ha ancora detto chi, quanto e quando. Al momento della nostra prima verifica, un'ora e mezza dopo la pubblicazione, nessuna testata riconosciuta aveva ancora ripreso il comunicato: la fonte era, ed è, l'account ufficiale della società. Nel corso della mattinata la notizia è stata ripresa da più testate indipendenti — fra le altre Cointelegraph, crypto.news, CryptoPotato e U.Today — che concordano sul dettaglio già noto e ora confermato da fonte terza: la richiesta era una taglia del 10% da pagare con fondi di Blockstream, con la minaccia, altrimenti, di una perdita del 15% per chi detiene L-BTC. LE VERIFICHE DI STAMATTINA, tutte nostre e nessuna cambia lo stato. La rete lavora: alle 06:48 UTC la punta della catena Liquid è il blocco 4.052.341, 434 blocchi in 434 minuti dal controllo delle 23:34 UTC di ieri, esattamente un blocco al minuto. I fondi non si muovono: l'indirizzo degli autori tiene 598,50049115 BTC su 297 transazioni confermate (erano 598,50048115 su 296), mille satoshi in più di sola polvere ricevuta da terzi e nessuna uscita; le 34 transazioni in mempool, contro le 28 del controllo precedente, sono altra polvere in entrata. Le riserve della Federazione restano 3.601,47203772 BTC su 590 transazioni, identiche al satoshi e alla transazione. La pagina di stato di Blockstream non si muove dal comunicato delle 10:00 UTC del 10/9 e tiene «Liquid» e «Public Bridge Nodes» in Partial Outage, con le operazioni di peg, peg-out autorizzati PAK compresi, dichiarate sospese. Sul repository ufficiale di Elements la sezione degli avvisi di sicurezza È ANCORA VUOTA a oltre cinquantun ore dalla release stabile 23.3.4 del 9/9, e su master non c'è un commit nuovo dal 4/9: a cinque giorni dall'incidente non esiste ancora un avviso formale scritto sul software che l'ha reso possibile. RI-VERIFICA DELLE 13:25 CEST (11:24 UTC) DELL'11/9/2026: in quattro ore e mezza non è cambiato nulla. La punta della catena Liquid è il blocco 4.052.617, 276 blocchi in 276 minuti dal controllo delle 06:48 UTC, ancora esattamente un blocco al minuto. L'indirizzo degli autori è fermo a 598,50049115 BTC sulle stesse 297 transazioni confermate: nessuna uscita, nessuna risposta on-chain al rifiuto di pagare, e 36 transazioni in mempool contro le 34 di stamattina, ancora sola polvere in entrata. Le riserve della Federazione sono invariate al satoshi, 3.601,47203772 BTC su 590 transazioni. La pagina di stato di Blockstream è ferma al comunicato delle 10:00 UTC del 10/9, con i peg-out sospesi. Gli avvisi di sicurezza di Elements sono vuoti da oltre cinquantasei ore dalla release stabile 23.3.4, e su master non c'è un commit nuovo dal 4/9. L'incidente resta aperto e segnato come in corso: i peg-out sono disabilitati per dichiarazione ufficiale, la riserva non è ricostituita, e un rifiuto di pagare non è una restituzione. RI-VERIFICA DEL 12/9/2026 ORE 02:30 CEST (00:30 UTC): PER LA PRIMA VOLTA IL BUCO DEL PEG HA UNA CIFRA, E LA PUBBLICA BLOCKSTREAM STESSA. Fin qui la copertura del peg era una promessa senza numeri: sopra sta scritto che «nessuno ha ancora detto chi, quanto e quando». Il quanto adesso c'è, e non viene da un'indiscrezione ma dall'explorer ufficiale della rete, liquid.network, gestito da Blockstream, che espone due endpoint pubblici aggiornati a ogni blocco. Il primo, /api/v1/liquid/reserves, dichiara 3.628,84415900 BTC di riserva, aggiornati al blocco Bitcoin 966.583 delle 00:21 UTC del 12/9. Il secondo, /api/v1/liquid/pegs, dichiara 4.231,37422444 L-BTC in circolazione, aggiornati al blocco Liquid 4.053.416. Il rapporto fra i due numeri è la copertura reale del peg in questo momento: 85,76%. Mancano 602,53006544 BTC. La cifra che manca corrisponde quasi esattamente a quella che gli autori del furto non hanno restituito: 602,53 contro 598,50 BTC, quattro bitcoin di differenza. Detto altrimenti, e senza bisogno di interpretazioni: oggi l'ammanco della riserva È il bottino ancora in mano agli autori, e la promessa del 10/9 dell'amministratore delegato Adam Back — «il peg 1:1 sarà coperto» — ha finalmente una dimensione, 602,5 bitcoin, ma continua a non avere né un nome né una data. Lo stesso endpoint permette di misurare il prima e il dopo: la serie mensile delle riserve dà 4.216,6184 BTC all'1/8/2026, contro i 3.628,84 di oggi. NOTA DI PRECISIONE, perché la differenza conta. Il 12/9 CryptoSlate ha pubblicato per prima il dato, con una copertura «di appena l'85%» e un ammanco di circa 627 BTC, calcolandolo però sul solo indirizzo della Federazione che era stato svuotato. Quel calcolo sottostima le riserve di 27,37 BTC, perché la Federazione non tiene tutto su un indirizzo solo. Il numero che pubblichiamo è quello aggregato dell'explorer ufficiale, verificato da noi direttamente sui due endpoint: 85,76% e 602,53 BTC, non 85,15% e 627 BTC. IL RESTO DELLE VERIFICHE DI STANOTTE, tutte nostre, non sposta nulla. La rete lavora: punta della catena Liquid al blocco 4.053.338, 343 blocchi in 344 minuti dal controllo delle 17:42 UTC. I fondi non si muovono: l'indirizzo degli autori tiene 598,50055229 BTC su 309 transazioni confermate, ispezionate una per una fino alla cinquantesima più recente senza trovare una sola transazione che spenda da quell'indirizzo — le sette in più rispetto a stasera sono polvere in entrata da 300 a 1.000 satoshi, e le 32 in mempool pure. L'indirizzo della Federazione non effettua un pagamento in uscita dalle 16:48 UTC del 6/9: sono più di cinque giorni, ed è la conferma on-chain di quello che la pagina di stato dichiara a parole. Quella pagina, infatti, è ferma al comunicato delle 10:00 UTC del 10/9, con «Liquid» e «Public Bridge Nodes» ancora in Partial Outage e le operazioni di peg, peg-out autorizzati PAK compresi, dichiarate sospese. Sul repository ufficiale di Elements la sezione degli avvisi di sicurezza È ANCORA VUOTA a sessantotto ore dalla release stabile 23.3.4 del 9/9, e su master non c'è un commit nuovo dal 4/9. Nessuna risposta degli autori, né on-chain né altrove, a oltre diciotto ore dal rifiuto pubblico di pagare. Trezor continua a dire «il nostro fornitore di posta elettronica di terze parti» senza nominarlo, BitBox parla ancora di un fornitore della newsletter «molto probabilmente compromesso» senza nome, e la pagina di stato di Brevo continua a dichiarare che non risultano problemi ai suoi sistemi. L'incidente resta aperto e segnato come in corso. AGGIORNAMENTO DEL 17-18/9/2026 — PER LA PRIMA VOLTA QUALCUNO DICE DA CHE COSA DIPENDE LA RIAPERTURA DEI PEG-OUT. Il 17/9 alle 21:05 UTC il canale ufficiale della rete ha pubblicato il primo aggiornamento dal 10/9 e ha messo per iscritto la condizione che finora nessuno aveva enunciato: i peg-out riapriranno SOLO dopo che sarà stata confermata la copertura piena 1:1 dei L-BTC in bitcoin e dopo che saranno stati completati tutti gli aggiornamenti software richiesti, i test e le revisioni di sicurezza indipendenti. Nessuna data: il comunicato dice esplicitamente di non essere «ancora in grado di indicare una data certa», e aggiunge che il piano e i tempi saranno comunicati dai membri della Federazione Liquid e da Blockstream «appena definiti». Lo stesso comunicato conferma le cifre: dei ~4.000 BTC usciti il 6/9 ne sono rientrati 3.400 e «circa 600 BTC restano non restituiti», con le attività di recupero ancora in corso. SUL POST-MORTEM: la causa radice e il percorso dell'exploit sono stati identificati e la correzione immediata è nella release Elements v23.3.4, ma il rapporto tecnico completo è soltanto annunciato, «appena disponibile», e non è ancora uscito — sul repository ufficiale di Elements la sezione degli avvisi di sicurezza, che abbiamo ricontrollato oggi via API, È ANCORA VUOTA a nove giorni dalla release stabile del 9/9. L'ECOSISTEMA RIPARTE A PEZZI, E IL COMUNICATO FA I NOMI: Mifiel ha ripreso l'emissione e le transazioni dei suoi pagherò digitali, BTSE dichiara riabilitati i trasferimenti di USDT su Liquid e l'asset non toccato dall'incidente, Aqua dichiara disponibili i trasferimenti di asset Liquid e i peg-IN e ha acceso Indra, il suo scambio fra L-BTC e BTC su Lightning, con liquidità però «limitata», SideShift ha riattivato gli scambi cross-chain di USDT e DEPIX su Liquid. Bull Bitcoin e la app di Blockstream permettono di nuovo i trasferimenti di asset Liquid, ma su quei servizi le rotte L-BTC↔BTC e L-BTC↔Lightning RESTANO CHIUSE finché i peg-out non riaprono: è la misura pratica di che cosa significhi, per chi tiene L-BTC, che il rubinetto d'uscita sia ancora chiuso. La rete stessa avverte che la disponibilità varia da servizio a servizio e va verificata sui canali ufficiali di ciascuno. LA NOSTRA MISURA DI OGGI, 18/9/2026 ALLE 12:24 UTC, NON SI SPOSTA DI UN SATOSHI. Riserve 3.632,22857869 BTC (blocco bitcoin 967.553) contro 4.234,75864413 L-BTC in circolazione (blocco Liquid 4.062.754): copertura 85,77%, ammanco 602,53006544 BTC, identico al satoshi alla diciottesima rilevazione consecutiva. L'indirizzo degli autori non spende: 254 output spesi per 2.818.049.176.338 satoshi, gli stessi delle rilevazioni precedenti; il saldo di 598,50434988 BTC cresce solo di polvere in entrata (53 transazioni in mempool per 26.399 satoshi in tutto). L'indirizzo della Federazione tiene 3.601,47207156 BTC su 597 transazioni, anch'esso invariato. @Blockstream non pubblica nulla sul caso dall'11/9. L'incidente resta aperto e segnato come in corso. AGGIORNAMENTO DEL 2/10/2026 — IL POST-MORTEM TECNICO ESISTE, ED È UFFICIALE. Il nostro aggiornamento del 18/9 si chiudeva dicendo che Blockstream non pubblicava nulla sul caso dall'11/9: quella frase non è più vera e la correggiamo qui. Il 23/9/2026 la società ha pubblicato sul proprio blog la «Liquid Network Security Incident Assessment», cioè la valutazione tecnica dell'incidente del 6 settembre con causa radice, meccanica dell'exploit, cronologia e misure adottate. È la fonte autorevole su questo caso e sostituisce il rapporto della Federazione dell'8/9 come riferimento primario. LA CAUSA RADICE SONO DUE DIFETTI, NON UNO, E IL SECONDO STAVA DENTRO LA CORREZIONE DEL PRIMO. Entrambi nella cache con cui i nodi Elements ricordano le verifiche dei rangeproof. Difetto A, introdotto il 25/4/2018: la chiave della cache era calcolata come SHA256(nonce ‖ rangeproof ‖ value_commitment), cioè LASCIANDO FUORI l'asset commitment e lo scriptPubKey — un risultato di validazione poteva così essere riusato in un contesto in cui non valeva. Difetto B, nato dalla correzione del primo: la correzione concatenava i campi SENZA PREFISSI DI LUNGHEZZA, e il rapporto scrive che un attaccante poteva quindi «troncare o estendere il rangeproof, aggiustando lo scriptPubKey per compensare, e produrre una transazione con un rangeproof non valido per la quale la cache di validazione avrebbe comunque affermato la validità». La meccanica dell'attacco è questa: gli autori hanno costruito una transazione i cui campi-chiave producevano una concatenazione IDENTICA BYTE PER BYTE a quella di una prova legittima già verificata e in cache — stesso asset commitment e stesso ultimo byte dello script di destinazione — e la cache, «riconoscendo» una corrispondenza, ha saltato la verifica vera. Il rangeproof falso non è mai stato validato: è bastato che somigliasse alla chiave. LA CRONOLOGIA UFFICIALE, CON UNA SEQUENZA CHE VA LETTA PER INTERO. 2/8/2026: un ricercatore esterno segnala il difetto A a [email protected]. 3/8: Blockstream apre la correzione per revisione interna e LA DISTRIBUISCE IN PRODUZIONE. 5/8: la correzione è validata su testnet, e il test NON intercetta il difetto B. 1/9: la correzione del difetto A viene unita al repository pubblico di Elements, e il rapporto annota che «da questo punto il codice che contiene il difetto B è pubblicamente visibile». 3/9: tutte le voci interne che tracciavano le segnalazioni esterne e la loro risoluzione vengono marcate come risolte. 6/9 alle 13:53:10 UTC: l'attacco. Alle 14:05 gli autori depositano 4.000 L-BTC al peg-out di SideSwap; alle 14:28:56 la Federazione rilascia 3.996,02 BTC su Bitcoin; alle 18:26 Blockstream ferma i nodi bridge. 7/9 alle 01:09 patch d'emergenza; alle 16:09 gli autori restituiscono 3.400 BTC. 8/9: la correzione del difetto B è unita dopo revisione. 9/9 alle 13:30 esce pubblicamente Elements v23.3.4, alle 21:05 riprende la produzione dei blocchi. ⚠️ Attenzione a come si legge il punto dell'1/9: il rapporto dice che da quel momento il codice con il difetto B era pubblico, NON dice che la pubblicazione abbia permesso agli autori di scoprirlo, e noi non lo affermiamo. LE CIFRE DEL RAPPORTO. ~4.000 L-BTC non coperti creati; 3.996,02 BTC usciti via peg-out di SideSwap e confermati su Bitcoin; 3.400 BTC restituiti il 7/9; «circa 602 BTC restano fuori» e «circa 602 BTC restano soggetti agli sforzi di recupero in corso»; la riserva è scesa da ~4.205 BTC a 197 BTC prima del recupero. Sul ripristino il rapporto non promette nulla: «all'ultimo aggiornamento pubblico (17 settembre 2026) il piano di recupero resta in fase di test attivo ed è soggetto a revisione». Il documento NON dice che i saldi dei singoli utenti siano stati toccati. LE CINQUE MISURE ANNUNCIATE, che sono la parte del rapporto che riguarda il futuro e non il passato. 1) Sulle questioni critiche per il consenso, quando esistono più rimedi possibili «l'approccio che offre le garanzie strutturali di sicurezza più solide sarà d'ora in poi quello predefinito», con revisione di un auditor indipendente prima del rilascio — è la lezione esplicita del difetto B. 2) Revisione ricorrente del codice su due binari: scansione di sicurezza a ogni modifica unita in un ramo di rilascio, più revisione periodica del codice critico ANCHE QUANDO NON È STATO TOCCATO. 3) Ampliamento del test avversariale: fuzzing, mutation testing, esecuzione simbolica ed eventuale verifica formale sul codice critico per il consenso, più monitoraggio on-chain. 4) Difesa in profondità sulle cache sensibili al contesto, con un tag di versione dello schema e un ri-controllo obbligatorio del contesto al momento della lettura. 5) Un BUG BOUNTY dedicato a Elements e alle altre infrastrutture open source critiche mantenute dalla società. COSA DICE LA RETE IL 28/9, E PERCHÉ CONTA PIÙ DI QUANTO SEMBRI. Stato al 28/9/2026 ore 05:48 UTC, pubblicato il 29/9: è «in corso un audit esterno indipendente di sicurezza di Elements v23.3.4», e in parallelo la Federazione Liquid sta coordinando un aggiornamento della lista PAK «inclusa la sostituzione delle voci esistenti e la garanzia che tutte le chiavi di peg-out siano custodite in modo sicuro in cold storage». Tradotto: le chiavi che autorizzano l'uscita da Liquid vengono CAMBIATE, non solo messe al sicuro. La rete chiude con «ci aspettiamo di condividere a breve ulteriori aggiornamenti sul percorso verso la ripresa»: nessuna data, come dal 10/9. LA NOSTRA MISURA DI OGGI, 2/10/2026 ALLE 11:35 UTC — DICIANNOVESIMA RILEVAZIONE, E NON SI MUOVE NIENTE. Riserve 3.632,22855173 BTC (blocco bitcoin 969.581) contro 4.234,75864413 L-BTC in circolazione (blocco Liquid 4.082.864): copertura 85,77%, ammanco 602,53009240 BTC. Gli L-BTC in circolazione sono IDENTICI AL SATOSHI a quelli del 18/9, il che è la prova indipendente che nessun peg-out è passato in quattordici giorni; le riserve sono scese di 2.696 satoshi, polvere di commissioni. L'indirizzo degli autori tiene 598,50443510 BTC con 254 output spesi, lo stesso numero di tutte le rilevazioni precedenti: NON HANNO SPESO NULLA, e il saldo cresce solo per polvere in entrata (1.454 transazioni in tutto, 48 in mempool per 21.995 satoshi). L'indirizzo della Federazione tiene 3.601,47204460 BTC. L'incidente resta aperto e segnato come in corso: finché i peg-out sono chiusi, chi detiene L-BTC non può uscire in bitcoin.

Chi è stato colpito

IDScan.net, azienda americana che con la sua piattaforma VeriScan controlla i documenti d'identità per conto di locali, negozi e dispensari

Ultime informazioni verificate

Per cinque mesi un estraneo è rimasto dentro VeriScan, la piattaforma cloud di IDScan, e sul caso indaga l'FBI. L'azienda conferma che possono essere stati presi nomi, contatti, date di nascita e numeri di patenti, passaporti e altri documenti, ma non dice quante persone sono coinvolte. Il giornalista Brian Krebs ha verificato alcuni campioni di quello che era in vendita su un mercato del dark web, la parte nascosta di internet. Secondo lui c'erano oltre 153 milioni di scansioni di patenti di USA e Canada, più circa 10 milioni di carte d'identità.

Ultime informazioni verificate

Fra il 4 e il 5 settembre 2026 un soggetto non autorizzato è entrato nella rete di DriveWealth, il broker-dealer di New York che forniva a Revolut l'infrastruttura per la compravendita di azioni statunitensi, e ha esfiltrato dati personali. L'accesso è avvenuto tramite una campagna di ingegneria sociale. Il 24 settembre 2026 Revolut ha iniziato a scrivere ai clienti coinvolti: si tratta di utenti dello Spazio economico europeo che hanno negoziato azioni USA prima di dicembre 2023, data in cui la condivisione dei dati con DriveWealth è cessata — i dati erano ancora conservati per obblighi di legge. Per i record collegati a Revolut le informazioni esposte comprendono nome, indirizzo email, numero di telefono, indirizzo postale, informazioni sull'impiego, paese di cittadinanza, età, sesso e una parte del numero di conto DriveWealth; in alcuni casi anche la data di nascita. Secondo l'avviso ufficiale di DriveWealth non sono state compromesse password né informazioni di pagamento come carte di credito o coordinate bancarie, e non sono stati compromessi i documenti d'identità; la società dichiara inoltre che «non è stata identificata alcuna attività non autorizzata sui conti di intermediazione, inclusi negoziazioni, trasferimenti, prelievi, richieste ACAT o alterazioni di saldi e posizioni». Revolut ha dichiarato che i propri sistemi, i fondi e i conti dei clienti non sono stati toccati: la violazione ha riguardato il fornitore, non la banca. Non è stato pubblicato un numero di clienti Revolut coinvolti; l'avviso di DriveWealth cita circa 62.000 residenti del Rhode Island sull'insieme della propria clientela, dato che non è riferibile ai soli utenti Revolut. Lo stesso incidente ha colpito i clienti dei broker Stake (avvisati il 21 settembre) e Hatch (il 22 settembre), che usano la stessa infrastruttura. È il secondo episodio in meno di due settimane che espone dati di clienti Revolut, dopo la consegna di documenti d'identità e storico movimenti a chi si era finto un'autorità, dell'11 settembre.

Ultime informazioni verificate

L'11 marzo 2026 un cliente ha presentato reclamo al Garante per la protezione dei dati personali lamentando di ricevere comunicazioni commerciali dentro l'app della banca nonostante avesse disattivato la relativa impostazione e avesse manifestato opposizione al Servizio Clienti il 2 ottobre e il 9 dicembre 2025. Le notifiche promozionali sono comunque proseguite: almeno dieci fra l'ottobre 2025 e il maggio 2026. Nelle proprie memorie la banca ha riconosciuto la causa: la disattivazione era stata recepita dai sistemi interni ma non era stata sincronizzata con l'unità CRM che materialmente invia le comunicazioni. Il Garante ha ritenuto che registrare il rifiuto in una banca dati non basta, se l'infrastruttura che usa quei dati continua a operare come se il diritto non fosse mai stato esercitato. Con il provvedimento n. 613 del 3 settembre 2026 — reso noto l'11 settembre — l'Autorità ha dichiarato illecito il trattamento per violazione degli artt. 5, par. 1, lett. a), 12, 21 e 24 del GDPR, ha ordinato il pagamento di 5.508.000 euro, ha prescritto alla banca di adottare misure tecniche e organizzative adeguate a garantire l'esercizio dei diritti e di riferire le iniziative prese entro 30 giorni, e ha disposto la pubblicazione del provvedimento anche in considerazione di un precedente provvedimento adottato contro la stessa società per violazioni pertinenti. Due precisazioni che cambiano la lettura della cifra. Primo: l'accertamento riguarda la posizione di UN reclamante e dieci notifiche, non una platea di clienti; l'importo è alto perché l'art. 83, par. 5 del GDPR lo parametra al fatturato del gruppo, non perché la violazione abbia colpito una massa. Secondo: non è una fuga di dati — nessuna informazione risulta uscita verso terzi. Il caso non è chiuso: la banca ha 30 giorni per pagare, può definire la controversia versando metà della sanzione oppure proporre opposizione davanti al giudice ordinario. Sul singolo reclamante il difetto risulta corretto: dal 13 maggio 2026 non riceve più le notifiche e la banca dichiara di aver rafforzato l'allineamento fra le richieste di opt-out e la piattaforma di invio.

Ultime informazioni verificate

L'11 marzo 2026 un cliente ha presentato reclamo al Garante per la protezione dei dati personali lamentando di ricevere comunicazioni commerciali dentro l'app della banca nonostante avesse disattivato la relativa impostazione e avesse manifestato opposizione al Servizio Clienti il 2 ottobre e il 9 dicembre 2025. Le notifiche promozionali sono comunque proseguite: almeno dieci fra l'ottobre 2025 e il maggio 2026. Nelle proprie memorie la banca ha riconosciuto la causa: la disattivazione era stata recepita dai sistemi interni ma non era stata sincronizzata con l'unità CRM che materialmente invia le comunicazioni. Il Garante ha ritenuto che registrare il rifiuto in una banca dati non basta, se l'infrastruttura che usa quei dati continua a operare come se il diritto non fosse mai stato esercitato. Con il provvedimento n. 613 del 3 settembre 2026 — reso noto l'11 settembre — l'Autorità ha dichiarato illecito il trattamento per violazione degli artt. 5, par. 1, lett. a), 12, 21 e 24 del GDPR, ha ordinato il pagamento di 5.508.000 euro, ha prescritto alla banca di adottare misure tecniche e organizzative adeguate a garantire l'esercizio dei diritti e di riferire le iniziative prese entro 30 giorni, e ha disposto la pubblicazione del provvedimento anche in considerazione di un precedente provvedimento adottato contro la stessa società per violazioni pertinenti. Due precisazioni che cambiano la lettura della cifra. Primo: l'accertamento riguarda la posizione di UN reclamante e dieci notifiche, non una platea di clienti; l'importo è alto perché l'art. 83, par. 5 del GDPR lo parametra al fatturato del gruppo, non perché la violazione abbia colpito una massa. Secondo: non è una fuga di dati — nessuna informazione risulta uscita verso terzi. Il caso non è chiuso: la banca ha 30 giorni per pagare, può definire la controversia versando metà della sanzione oppure proporre opposizione davanti al giudice ordinario. Sul singolo reclamante il difetto risulta corretto: dal 13 maggio 2026 non riceve più le notifiche e la banca dichiara di aver rafforzato l'allineamento fra le richieste di opt-out e la piattaforma di invio.

Chi è stato colpito

Chi usa Chrome o un altro browser costruito su Chromium, la stessa base di Chrome, come Edge e Opera

Ultime informazioni verificate

Due falle di sicurezza in V8, la parte di Chrome che esegue il JavaScript delle pagine, permettono a un sito trappola di far girare programmi dentro il browser. Google ha confermato che entrambe erano già sfruttate dagli aggressori e le ha corrette il 3 e l'8 settembre, senza dare dettagli sugli attacchi e sulle vittime. Sono il sesto e il settimo zero-day di Chrome nel 2026, cioè falle usate dagli aggressori prima che esistesse una correzione. Le falle riguardano anche Edge, Opera e gli altri browser basati su Chromium.

Chi è stato colpito

Router MikroTik con SSH, il servizio per comandarli a distanza, aperto su internet

Ultime informazioni verificate

Una catena di falle nel servizio SSH dei router MikroTik permette di prendere il pieno controllo del dispositivo senza password. CERT Polska ha visto attacchi riusciti almeno dal 2 settembre: gli aggressori creavano sul router un utente amministratore chiamato «ops». Circa 122.500 router avevano SSH raggiungibile da internet. MikroTik ha pubblicato le correzioni il 3 settembre, ma una era incompleta e il 6 ottobre l'azienda ha indicato nuove versioni da installare.

Chi è stato colpito

Luminis Health e due suoi ospedali nel Maryland, negli Stati Uniti

Ultime informazioni verificate

Dopo l'attacco, l'Anne Arundel Medical Center di Annapolis e il Doctors Community Medical Center di Lanham hanno mandato in altri ospedali le ambulanze con pazienti non gravi. Il sito riservato ai pazienti e i telefoni erano fuori uso, i medici lavoravano su carta e per settimane i pazienti hanno avuto visite cancellate ed esami in ritardo. I sistemi sono tornati online solo verso l'8 ottobre, sei settimane dopo. Luminis Health, che serve circa 1,8 milioni di persone, parla di un «attore criminale non autorizzato» e non ha detto se i dati dei pazienti sono stati rubati.

Ultime informazioni verificate

Il 31 agosto 2026 la società di sicurezza SlowMist segnala lo sfruttamento di un pool in stile Balancer V1: l'attaccante riduce al minimo le riserve di WBTC del pool e poi conia i token del pool (BPT) versando 1 solo satoshi, perché il contratto arrotonda per difetto. Perdita stimata ~234.000 $. Il 3 settembre Balancer invia un messaggio on-chain agli indirizzi coinvolti offrendo una via per la restituzione dei fondi e lo comunica sul proprio account X il 4 settembre; alla data di verifica non risulta annunciata alcuna restituzione. Riguarda i pool V1, l'architettura più vecchia, non V3.

Ultime informazioni verificate

Il 28/8/2026 un attaccante ha sfruttato una vulnerabilità in una versione obsoleta dei contratti carta Solana dell'emittente Rain, prelevando fondi dai saldi carta degli utenti. Avici ha riconosciuto il problema circa due ore dopo il primo furto; il token AVICI ha perso il 49% sul minimo storico. Le prime stime onchain parlavano di oltre 1 M$ (10.005 SOL più USDC e USDT), ma la riconciliazione ufficiale pubblicata da Avici la sera del 28/8 (ore 22:44 CEST) ridimensiona il danno a 500.859,22 $ su 1.685 utenti colpiti. Avici precisa che i wallet Solana ed EVM dell'app sono self-custodial e NON sono stati toccati: colpito solo il contratto Solana separato che custodisce il saldo caricato sulla carta. Il contratto è stato aggiornato su tutti i programmi e non si osserva altra attività non autorizzata. Avici ha promesso il rimborso integrale di tutti gli utenti colpiti e ha depositato una denuncia all'Internet Crime Complaint Center dell'FBI. Il 29/8 Avici ha dichiarato i rimborsi ESEGUITI: saldo ripristinato per intero a tutti gli utenti colpiti, più un 10% di cashback aggiuntivo sull'importo prelevato. Contratto Solana aggiornato, nessuna ulteriore attività collegata osservata.

Ultime informazioni verificate

Il 28/8/2026 i sistemi di monitoraggio di Rain hanno rilevato una vulnerabilità che interessava «un numero ridotto di programmi» che usavano una versione obsoleta dei contratti Solana di Rain; gli altri programmi non risultano impattati. Rain dichiara (X, 28/8 ore 22:26 CEST) di aver aggiornato tutti i programmi alla versione corrente dei contratti, chiudendo la falla, di aver ingaggiato una società forense terza e di voler coinvolgere forze dell'ordine e autorità; promesso il rimborso integrale di tutti gli utenti colpiti. Rain non ha pubblicato un totale proprio: le uniche cifre ufficiali arrivano dalle riconciliazioni dei due programmi che si sono dichiarati colpiti — Avici (28/8, 500.859,22 $ su 1.685 utenti) e Tria (29/8, 431.945 $ su 636 utenti), per 932.804 $ e 2.321 utenti complessivi. Entrambi precisano che i wallet self-custodial non sono stati toccati: colpito solo il contratto Solana separato che custodisce il saldo caricato sulla carta. Il 29/8 Rain ha dichiarato che TUTTI i titolari di carta colpiti sono stati rimborsati per intero, con i fondi nei contratti degli utenti e tutti i programmi aggiornati e operativi; Avici e Tria hanno confermato separatamente i rimborsi eseguiti, ciascuno con un 10% aggiuntivo. Le analisi forensi proseguono. Nessun altro programma carta si è dichiarato colpito.

Ultime informazioni verificate

Il 28/8/2026 Tria ha segnalato prelievi non autorizzati di USDC/USDT caricati sul saldo carta Solana, «su tutte le carte in programma Rain». La causa è la vulnerabilità in una versione obsoleta dei contratti Solana dell'emittente Rain, confermata dallo stesso Rain in giornata (contratti aggiornati su tutti i programmi, falla chiusa, nessuna ulteriore attività non autorizzata osservata). Il 29/8 (ore 12:47 CEST) Tria ha pubblicato la riconciliazione: 636 utenti colpiti per 431.945 $ di saldi carta. Il wallet Tria non è mai stato interessato — è self-custodial e resta sotto controllo dell'utente — e gli asset su EVM, Aptos, Solana e altre catene tenuti nel wallet risultano intatti, così come futures ed earn: colpito solo il contratto Solana separato in cui confluisce la ricarica della carta. La sera del 29/8 (ore 20:58 CEST) Tria ha confermato che tutti gli utenti colpiti hanno RICEVUTO il rimborso integrale, più un 10% aggiuntivo a testa.

Ultime informazioni verificate

Il 27/8/2026 un cliente, Douglas Kim, ha depositato davanti a un tribunale federale di New York una proposta di class action nazionale contro Ledger SAS, chiedendo almeno 500 milioni di dollari di danni. L’atto non descrive una violazione nuova: contesta la gestione di quelle già note — la fuga di dati del 2020 (oltre 270.000 clienti, con nomi, indirizzi e telefoni) e l’attacco del dicembre 2023 alla libreria Ledger Connect Kit — sostenendo che l’azienda avrebbe minimizzato gli episodi, tardato ad avvisare i clienti e omesso di rafforzare le difese. Il ricorrente afferma di essersi visto sottrarre criptoattivi per 1.948.074 dollari dopo essere stato contattato, nel febbraio 2025, da truffatori che si spacciavano per Ledger usando i suoi dati. ⚠️ Sono accuse contenute in un atto di parte, non fatti accertati da un giudice, e il procedimento è appena iniziato. Ledger non ha commentato pubblicamente e non risulta alcuna presa di posizione ufficiale. La fuga di dati del 2026 tramite il partner Global-e non rientra in questa causa.

Ultime informazioni verificate

Il 27/8/2026 un attaccante ha manipolato il prezzo del token illiquido MAMO usato come collaterale sul mercato Moonwell su Base. Secondo il post-mortem ufficiale pubblicato sul forum di governance (report Anthias, cutoff blocco Base 50.524.962, 27/8 ore 14:01 UTC): con 1,947 M$ di USDC iniziali ha trasferito 53,4 M di MAMO direttamente al contratto mMAMO gonfiando il tasso di cambio ~3,68x senza superare i supply cap, poi ha spinto il prezzo dell'oracolo da 0,0106 $ a 0,43 $ comprando MAMO su mercati sottili; ha quindi preso a prestito 11.028.762 $ fra cbBTC, WETH, USDC e wstETH, esfiltrando 8,728 M$ in DAI su Ethereum (guadagno netto stimato 6,785 M$). Non è stata violata la crittografia né il codice dei contratti: è un attacco economico all'oracolo. I liquidatori hanno recuperato quasi tutto il collaterale mMAMO (735,6 M di token), ma restano circa 9,1 M$ di debito residuo a carico del protocollo. Come misura d'emergenza Moonwell ha portato a 1 wei i borrow cap di TUTTI i Core Market su Base (nuovi prestiti di fatto congelati) e i supply cap di MAMO e WELL. Il 28/8 il team ha ingaggiato la società di sicurezza ZeroShadow per il recupero. Per la carta il punto è questo: la funzione di spesa a credito si appoggia proprio ai prestiti sul mercato Moonwell di Base, congelati finché i cap restano a 1 wei. Più fonti indipendenti segnalano che è il terzo incidente di sicurezza del protocollo in 11 mesi.

Chi è stato colpito

Boston Scientific, azienda americana che produce dispositivi medici

Ultime informazioni verificate

L'attacco, di autore sconosciuto, ha bloccato ordini, spedizioni e produzione, e secondo l'amministratore delegato tutte le fabbriche e i centri di distribuzione del mondo erano fermi. Alcuni ospedali sono rimasti senza prodotti e hanno dovuto comprarli altrove, mentre i dispositivi per il cuore già impiantati hanno funzionato normalmente. Gli impianti di sterilizzazione sono ripartiti all'inizio di settembre e intorno al 9 settembre l'azienda ha annunciato il pieno ripristino. Alla SEC, l'autorità americana della Borsa, ha detto che i conti del 2026 ne risentiranno in modo rilevante e che non raggiungerà le previsioni di vendita, senza dare cifre.

Ultime informazioni verificate

Il 16/8/2026 SafePal ha comunicato una violazione dei dati causata da una falla di autorizzazione in un plug-in di terze parti per il tracciamento degli ordini sul proprio e-commerce: manipolando il numero d'ordine un utente poteva vedere i dati d'ordine altrui (un errore di configurazione ha inoltre impedito la pulizia dei dati fra settembre 2025 e aprile 2026). Sono stati esposti nomi, email, indirizzi di spedizione, numeri di telefono e informazioni d'acquisto dei clienti che hanno ordinato fra il 2/3/2025 e l'11/4/2026. NON sono stati esposti seed phrase, chiavi private, password, dati bancari, numeri di carta, documenti d'identità né fondi: la sicurezza del wallet (non-custodial) è rimasta intatta. SafePal ha corretto la falla, ridotto la conservazione dei dati a 90 giorni, ingaggiato una società di sicurezza indipendente, rimosso oltre 30 siti fraudolenti/link di phishing e avvisato i clienti via email. ⚠️ I dati sottratti sono offerti in vendita su un forum del cybercrime: il rischio di phishing mirato è concreto.

Chi è stato colpito

Enti del governo di Taiwan. Gli aggressori hanno preso di mira anche l'agenzia per la sicurezza nucleare e almeno 7 aziende dell'energia.

Ultime informazioni verificate

In 4 giorni di luglio gli agenti AI sono entrati in almeno 85 account di dipendenti pubblici e hanno portato via più di 2.500 schede del personale. Poi hanno allargato l'attacco all'agenzia per la sicurezza nucleare e ad almeno 7 aziende dell'energia. Il 13 agosto il ministero digitale ha confermato che l'attacco è arrivato dall'estero e che gli enti colpiti hanno finito di gestire l'emergenza. Dream non dice chi sia l'autore, ma i documenti trovati indicano un aggressore di lingua cinese.

Chi è stato colpito

MyDr, un programma per le cartelle cliniche usato da circa 12.000 strutture sanitarie in Polonia

Ultime informazioni verificate

Il ministro del Digitale Krzysztof Gawkowski ha confermato che da MyDr sono stati rubati oltre 2 terabyte di dati su quasi 19 milioni di persone. Tra i dati ci sono nomi, numeri di telefono, email, codici PESEL, cioè il codice fiscale polacco, e dati sanitari come appuntamenti e ricette. Secondo il premier Tusk gli autori volevano farsi pagare un riscatto dall'azienda, e a metà agosto, dice il governo, i dati non erano stati pubblicati né messi in vendita. Indaga la polizia informatica polacca, il CBZC.

Ultime informazioni verificate

ShipMonk, il fornitore logistico che spedisce gli ordini Trezor, ha subito un'intrusione il 6 agosto 2026 attraverso una vulnerabilità della piattaforma di analytics di terze parti Metabase, e il 10 agosto ha comunicato a Trezor l'accesso non autorizzato ai sistemi che contenevano i dati d'ordine. Il 13 agosto Trezor ha reso pubblico l'incidente: 13.689 clienti coinvolti, di cui 11.742 con nome completo, email, telefono e indirizzo di spedizione esposti e 1.947 con esposizione parziale (nome, città, email), su ordini consegnati fra il 10 maggio e l'8 agosto 2026 in Stati Uniti, Regno Unito, Svezia, Colombia, Brasile, Italia e Portogallo. Il 2 settembre ShipMonk ha informato Trezor che il materiale sottratto conteneva anche i dati d'ordine di una collaborazione precedente fra novembre 2019 e agosto 2021, che secondo il contratto e la politica di conservazione avrebbero dovuto essere cancellati: il 4 settembre Trezor ha aggiornato la comunicazione aggiungendo circa 67.000 clienti statunitensi con esposizione completa (nome, email, telefono, indirizzo di spedizione, numero d'ordine), per un totale di circa 80.700 persone. Trezor dichiara che i propri sistemi, i dispositivi, le chiavi private e i backup del wallet non sono stati toccati, e afferma di aver ricevuto più volte da ShipMonk conferma scritta della cancellazione dei dati storici, cancellazione che non era avvenuta. Il rischio non è sui fondi in sé ma sulle persone: l'elenco associa nome, telefono e indirizzo di casa a chi possiede un portafoglio hardware, ed è la stessa materia prima che dopo la violazione Ledger del 2020 ha alimentato per anni phishing mirato, finte lettere e timori per la sicurezza fisica.

Chi è stato colpito

Programmatori e aziende che usano npm, l'archivio pubblico dei pacchetti di codice JavaScript pronti da inserire nei programmi

Ultime informazioni verificate

Il 4 agosto un aggressore ha preso l'account GitHub del responsabile del pacchetto keyv e ne ha pubblicato versioni infettate da ChainDrop, una variante del verme Shai-Hulud. Il verme ruba chiavi d'accesso, anche quelle del cloud, e si copia da solo in altri pacchetti: in meno di quattro ore ne ha infettati più di 440. L'agenzia di Singapore per la sicurezza informatica, la CSA, conta più di 1.300 versioni compromesse, per circa 2 miliardi di download al mese. Le versioni infette sembravano autentiche, perché erano state pubblicate con le procedure ufficiali dei progetti su GitHub e avevano un certificato di provenienza valido.

Ultime informazioni verificate

Dal firmware 4.0.0 (marzo 2021) la generazione del seed saltava il generatore hardware di casualità e ricadeva su un PRNG software prevedibile: entropia effettiva ~40 bit su Mk2/Mk3 (fw 4.0.1–4.1.9), ~72 bit su Mk4/Mk5/Q. Chiavi derivabili da remoto, senza accesso fisico al dispositivo. Advisory Coinkite il 30/7/2026 (ultimo aggiornamento 1/8). Prima ondata il 30/7 con ~1.082 BTC (~70 M$) svuotati da ~1.196 indirizzi in ~41 minuti; sono seguite altre ondate, per un totale di quattro. Le cifre sono cresciute a ogni verifica: ~89 M$ da ~4.585 indirizzi al 2/8, poi ~1.816 BTC (~116 M$) da oltre 5.200 indirizzi secondo l'analisi TRM Labs del 5/8, che avverte di trattarle come preliminari (fondi ancora in movimento, vittime che possono emergere per mesi); alcune testate hanno riportato stime più alte, fino a ~130 M$. È il più grande furto da hardware wallet del 2026. Firmware corretti entro ~24h (Mk3 4.2.0+, Mk4/Mk5 5.6.0+, Q 1.5.0Q+, Edge 6.6.0X/QX+), ma l'aggiornamento NON ripara i seed esistenti: chi ha generato il seed sul dispositivo deve crearne uno nuovo e migrare i fondi. Non coinvolti i seed da ≥50 lanci di dado o importati; la passphrase BIP-39 riduce il rischio. TAPSIGNER, OPENDIME e SATSCARD non coinvolti. Nessun recupero dei fondi rubati e nessun piano di rimborso annunciato. Al 3/9/2026 il conteggio consolidato di Galaxy Research attribuisce alla falla 1.789,28 BTC (~114,7 M$ al valore del momento del furto) su 8.865 indirizzi: leggermente meno BTC ma quasi il doppio degli indirizzi rispetto alla stima TRM del 5/8, segno che il perimetro delle vittime si è allargato. Il 2/9/2026 l'attaccante della terza ondata ha mosso i fondi per la prima volta, convertendo circa il 10% del bottino di quell'ondata in ETH tramite il DEX cross-chain THORChain (annuncio di Alex Thorn, Galaxy Research, l'1:46 del 3/9): sono i primi bitcoin a lasciare gli indirizzi originali di tutte e tre le ondate censite da Galaxy. Il restante ~90% della terza ondata è ancora fermo, gli swap sono andati in parte in errore e sono stati ritentati, e Galaxy ha condiviso il nuovo indirizzo Ethereum con le autorità e con gli operatori che monitorano i fondi rubati. Il 31/8/2026 alle 20:57 UTC è stato inoltre svuotato un wallet-esca del progetto pubblico di monitoraggio cktripwire.com con 12,9 bit di entropia aggiunta, pari a 5 lanci di dado (TXID 276e8f16732cbcdc02b0ca2e8fa9427ae7fbce053f3c784142c9fe2ed30ed887, verificabile onchain): è una misura diretta di quanto lontano arriva la forzatura delle chiavi da parte dell'attaccante e conferma che qualche lancio di dado non basta; alla stessa data risultano intatte le esche con 16 bit o più di entropia aggiunta.

Ultime informazioni verificate

Dal 1° luglio 2026 stop a nuovi ordini, depositi, iscrizioni e prodotti staking/Earn per i residenti UE, Italia inclusa; i prelievi restano attivi e i fondi accessibili. Binance ha ritirato il 24 giugno 2026 la domanda MiCA presentata in Grecia e dichiara di voler chiedere l'autorizzazione in Francia.

Ultime informazioni verificate

Non è un attacco: è il passaggio a MiCA, e per chi incassa attraverso questo gateway conta più di un attacco. In un aggiornamento firmato dall'amministratore delegato Max Krupyshev, pubblicato sul sito ufficiale del marchio CryptoProcessing by CoinsPaid, la società dichiara che la domanda di Dream Finance OÜ per l'autorizzazione come fornitore di servizi per le cripto-attività (CASP) «resta in corso di esame» e che l'azienda «ha ristretto le proprie attività in linea con l'approccio pubblicato dall'autorità di vigilanza finanziaria estone dopo la fine del periodo transitorio». Sulla controllata lituana la formulazione è più netta: «Dream Finance UAB (Lituania) ha temporaneamente sospeso la fornitura di tutti i servizi relativi alle cripto-attività, compresa la registrazione di nuovi clienti, l'esecuzione delle transazioni e la conclusione di nuovi contratti». COSA SIGNIFICA IN PRATICA. Sull'entità lituana non si aprono conti, non si firmano contratti e — secondo il testo della società — non si eseguono transazioni. Sull'entità estone l'attività continua in forma ristretta: nessun nuovo cliente, nessun nuovo contratto, nessuna espansione dei servizi verso i clienti esistenti, nessuna promozione dei servizi regolati nello Spazio economico europeo, in attesa della decisione dell'autorità. LA DATA E LO STATO. La data è quella dell'aggiornamento ufficiale, 30 giugno 2026: la società non dichiara il giorno in cui la sospensione è iniziata, e non lo inventiamo. Abbiamo aperto la pagina ufficiale il 26 settembre 2026 e il testo è ancora quello, al presente: nessun annuncio di ripresa, nessuna decisione di autorizzazione resa pubblica. Lo registriamo come «aperto» e non come emergenza in corso — è una transizione regolamentare, non un fatto in svolgimento — ma resta un vincolo attivo sul servizio, non una nota storica.

Ultime informazioni verificate

Il 17 giugno 2026 Deel ha confermato che un soggetto non autorizzato aveva avuto accesso a informazioni di contatto e commerciali conservate nel proprio CRM. L'avviso pubblico è arrivato il 26 giugno 2026 sul blog ufficiale. L'accesso non è passato dalla piattaforma Deel: è avvenuto — parole dell'azienda — «attraverso una connessione compromessa con Klue, un fornitore software terzo integrato col nostro CRM». COSA È USCITO. Deel descrive il materiale come informazioni «pubbliche, di contatto aziendale e commerciali» usate dai reparti vendite e marketing: nomi, indirizzi email aziendali, ruoli, numeri di telefono e dati dell'azienda. A queste l'azienda aggiunge, con la sua formula, «una quantità molto limitata di dati personali sincronizzati sul nostro CRM»: quel «molto limitata» non è quantificato, e nemmeno il numero di clienti o partner coinvolti. La piattaforma, le buste paga e i dati HR dei lavoratori gestiti tramite Deel non risultano interessati. COSA HA FATTO DEEL. Disconnessione del fornitore e revoca dei suoi accessi, revoca delle sessioni utente attive e rimozione dei token di accesso più vecchi, società di sicurezza esterne a validare l'indagine, legali esterni, monitoraggio rafforzato, contatto con le autorità di protezione dei dati competenti e una casella dedicata ([email protected]). La pagina dichiara che verrà aggiornata con l'avanzare dell'indagine. ⚠️ PERCHÉ CONTA PIÙ DI QUANTO SUGGERISCA LA PAROLA «B2B». Sono dati di contatto professionali di chi gestisce contratti e paghe: è esattamente il materiale che serve a costruire una richiesta di pagamento credibile. Lo dice Deel stessa, raccomandando di diffidare di comunicazioni inattese che citino Deel, la propria organizzazione, contratti, fatture, informazioni di conto o richieste di pagamento, e di non modificare istruzioni di pagamento senza una verifica indipendente. ⚠️ Il phishing di terzi non è un incidente del fornitore — ma qui il rischio nasce da una fuga di dati del fornitore, ed è il fornitore stesso a dichiararla. LA CAUSA A MONTE, ORA DOCUMENTATA DA KLUE (verifica del 28/9/2026). Deel aveva parlato genericamente di «una connessione compromessa». Il fornitore ha pubblicato la sua versione: Klue dichiara di aver rilevato il 12 giugno 2026 attività non autorizzata nella propria infrastruttura di integrazione, dove un attaccante ha sfruttato «una credenziale legacy compromessa associata a un servizio di integrazione» per ottenere token OAuth, e con quei token ha raggiunto gli ambienti dei clienti collegati — Salesforce fra questi. Klue afferma che non risultano toccati i contenuti conservati dentro la propria piattaforma, ha ingaggiato CrowdStrike per l'indagine, ha coinvolto le forze dell'ordine e definisce l'accaduto «un atto criminale deliberato». Nessuna delle due aziende ha pubblicato un numero di clienti coinvolti. ⚠️ E NON È UN CASO ISOLATO: DEEL È UNA VITTIMA FRA MOLTE. Era la domanda lasciata aperta dal run precedente, e la risposta è sì. L'incidente Klue è una compromissione della catena di fornitura a vittime multiple: hanno pubblicato un proprio avviso, fra gli altri, OneTrust, Recorded Future, Huntress, Jamf e LastPass. Per chi usa Deel due conseguenze pratiche. Primo: il meccanismo non è una password rubata a Deel, sono token OAuth di un'integrazione — cioè un accesso già autorizzato che continua a funzionare fino a quando qualcuno non lo revoca; se la tua organizzazione collega strumenti terzi al proprio CRM, è quella la superficie da controllare, non la password. Secondo: dati della stessa vittima possono essere usciti da più fornitori nello stesso periodo, quindi un tentativo di truffa può risultare informato al di là di ciò che il singolo avviso Deel lascia immaginare. STATO. `risolto: false`: la connessione compromessa è stata chiusa e i token revocati, ma i dati usciti non si fanno rientrare, il conteggio delle persone colpite non è stato pubblicato e l'indagine è dichiarata in corso. `in_corso: false`: non risulta un accesso ancora in atto.

Ultime informazioni verificate

Il 10 giugno 2026 un attaccante ha prelevato **1,34 milioni di dollari** — 150.177 RAY, 5.603 SOL e 893.700 USDC — da **cinque pool** del programma **AMM V3**, la versione dell'automated market maker che Raydium aveva **dismesso nel 2021**. Fra le pool colpite RAY-SOL e USDC-RAY. Il difetto è di una semplicità che spiega perché nove anni di audit non bastano se il codice vecchio resta vivo: in fase di prelievo il programma legacy verificava la *quantità* di token LP ma **non l'indirizzo del mint** da cui provenivano. L'attaccante ha creato un mint SPL qualunque, senza alcun legame con una pool reale, ne ha emesso **una singola unità** e ha chiamato la funzione di prelievo del contratto vecchio, aggirando i controlli di proporzione e portandosi via l'intera liquidità. Nessuna chiave compromessa, nessun contratto attuale toccato. L'account ufficiale Raydium Infra ha riconosciuto il fatto lo stesso giorno: «Raydium è a conoscenza di un exploit che coinvolge la rimozione non autorizzata di liquidità dal suo programma legacy AMM V3, già dismesso nel 2021. Nessun utente attuale di Raydium è colpito da questo exploit, né avrebbe potuto interagire con queste pool attraverso l'interfaccia». La società ha dichiarato che **la tesoreria coprirà integralmente** le perdite dei fornitori di liquidità rimasti in quelle pool, e ha avviato una revisione di sicurezza. ⚠️ Qui sta il punto che tiene l'incidente aperto: a quattro mesi di distanza **nessuna fonte, Raydium compresa, ha pubblicato la conferma che i rimborsi siano stati effettivamente erogati** — non è stato comunicato alcun calendario al momento dell'annuncio. Vale la regola di sempre: una promessa di rimborso non è un rimborso, e finché la restituzione non è dichiarata al passato l'incidente resta non risolto. Il precedente del 2022, dove Raydium ha invece portato a termine la compensazione, gioca a favore ma non sostituisce la verifica.

Ultime informazioni verificate

Il 1° giugno 2026 uno o più aggressori hanno sfruttato una falla nel controllo delle firme dei moduli Zodiac (Delay e Roles) usati dai conti delle carte Gnosis Pay, e hanno ordinato prelievi da conti non loro. Hanno portato via circa 1,5 milioni di dollari, più circa 300.000 dollari rimasti bloccati, su 5.281 wallet. Gnosis Pay ha spento le carte, corretto i moduli con una revisione di ChainSecurity e riattivato i servizi tra il 3 e il 7 giugno. Secondo il post-mortem ufficiale del 3 luglio, Gnosis ha coperto le perdite e nessun utente ha perso fondi.

Ultime informazioni verificate

Corte federale del Northern District of California: ammessa la domanda ai sensi della norma sui «pen register» del California Invasion of Privacy Act; respinte le domande su intercettazione e quelle di common law, con facoltà di emendare. Causa pendente.

Ultime informazioni verificate

⚠️ Perimetro prima di tutto: questa violazione riguarda **SoFi Securities (Hong Kong) Limited**, la controllata che offre servizi di investimento e intermediazione alla clientela dell'area asiatica, non la neobank statunitense descritta in questa scheda — che opera solo negli USA. È qui perché è il secondo incidente di sicurezza confermato dal gruppo in quattro mesi, non perché tocchi gli utenti del conto americano. I fatti: SoFi ha confermato un accesso non autorizzato a un database di SoFi Securities (Hong Kong) Limited avvenuto **attraverso un fornitore terzo**. La scoperta è datata 30 aprile 2026; la notifica ai clienti e la copertura stampa arrivano all'8 giugno 2026. L'azienda ha dichiarato di aver ingaggiato professionisti esterni di cybersicurezza e ha raccomandato ai clienti di attivare l'autenticazione a due fattori, controllare i conti e restare attenti ai tentativi di phishing. Quello che non è stato detto è la parte più rilevante, e va registrato come tale: SoFi **non ha reso noto il nome del fornitore**, **non ha dichiarato quanti clienti siano stati coinvolti**, non ha elencato le categorie di dati esposte e ha rifiutato di rispondere ad altre domande. Al momento della divulgazione dichiarava: «Non abbiamo ancora informazioni complete sulla portata e sull'impatto dell'incidente». Non risulta pubblicato in seguito alcun conteggio definitivo, e nemmeno la data di inizio dell'accesso non autorizzato: per questo la data in scheda è quella della **scoperta**, l'unica certa. L'incidente resta aperto per questo motivo, non perché sia in corso qualcosa adesso: senza un numero e senza le categorie di dati, un cliente di Hong Kong non ha gli elementi per sapere se è fra i coinvolti.

Ultime informazioni verificate

Con provvedimento n. 237 del 17/4/2026 (annunciato il 20/4) il Garante per la protezione dei dati personali ha sanzionato PostePay S.p.A. per 5.877.000 € e Poste Italiane per 6.624.000 € (oltre 12,5 mln totali) per il trattamento illecito dei dati di milioni di utenti tramite il componente ThreatMetrix presente nelle app — tra cui l'app Postepay — giudicato eccessivamente invasivo rispetto alla finalità antifrode, con carenze su informativa, DPIA, misure di sicurezza e conservazione. Il 17/7/2026 un'ordinanza cautelare del Tribunale di Roma ha sospeso l'efficacia esecutiva del provvedimento, che il Garante ha temporaneamente rimosso dal proprio sito; il giudizio di opposizione è pendente.

Ultime informazioni verificate

Il Garante ha sanzionato Poste Italiane e PostePay S.p.A. (emittente della Postepay Green) per oltre 12,5 milioni di euro complessivi (5,877 milioni a PostePay secondo la stampa). Il motivo è l'uso della componente antifrode ThreatMetrix, che sulle app BancoPosta e PostePay per Android raccoglieva i dati sulle app installate e in uso, dopo 140 segnalazioni e 12 reclami dall'aprile 2024. Il perimetro comprendeva tutti gli utenti dell'app PostePay su Android, il canale con cui si gestivano le carte PostePay, Green compresa (Parental Control). Il 17 luglio 2026 un'ordinanza cautelare del Tribunale di Roma ha sospeso l'efficacia esecutiva del provvedimento, rimosso dal sito del Garante. Il giudizio di opposizione è pendente.

Ultime informazioni verificate

Sanzione a Poste Italiane e PostePay per l'uso della soluzione antifrode ThreatMetrix, che rilevava le app installate sui telefoni dei clienti senza una base giuridica adeguata. Contestate violazioni degli articoli 5, 6, 13, 25, 28 e 35 del GDPR, a valle di 140 segnalazioni e 12 reclami. La ripartizione degli importi (5,877 milioni a PostePay, 6,624 milioni a Poste Italiane) proviene dalla stampa, non dal testo ufficiale. Il 17/7/2026 un'ordinanza cautelare del Tribunale di Roma ha sospeso l'efficacia esecutiva del provvedimento, che il Garante ha temporaneamente rimosso dal proprio sito; il giudizio di opposizione è pendente.

Ultime informazioni verificate

L'Antitrust italiana ha sanzionato il gruppo per 11,5 milioni complessivi: 5 milioni per non aver chiarito costi aggiuntivi e limiti degli investimenti «a zero commissioni», comprese le azioni frazionate; 5 milioni per pratiche aggressive nella sospensione, limitazione e blocco dei conti di pagamento, senza informazioni precontrattuali sufficienti, senza preavviso, senza possibilità di replica né assistenza adeguata; 1,5 milioni per informazioni non chiare su requisiti e tempi per ottenere un IBAN italiano al posto di quello lituano. Revolut ha dichiarato di non condividere le conclusioni e di voler ricorrere.

Ultime informazioni verificate

L'1/4/2026 Drift Protocol ha perso 295,7 M$ di fondi utenti in circa 12 minuti, su 31 prelievi. Secondo la ricostruzione di TRM Labs l'attacco era preparato da settimane: dall'11/3 i fondi per l'infrastruttura erano usciti da Tornado Cash; fra il 23 e il 30/3 sono stati creati account "durable nonce" di Solana per pre-firmare transazioni ad esecuzione differita, e i firmatari del Security Council sono stati indotti con social engineering ad approvare autorizzazioni amministrative nascoste; il 27/3 Drift aveva rimosso il timelock del Security Council, azzerando la finestra di rilevamento. In parallelo gli attaccanti avevano fabbricato un asset fittizio (CVT, CarbonVote Token, creato il 12/3 con 750 M di unità), ancorato a circa 1 $ con un piccolo pool Raydium e wash trading e dato in pasto a un oracolo da loro controllato: gli oracoli di Drift lo hanno accettato come collaterale valido per centinaia di milioni. L'1/4 le transazioni pre-firmate hanno depositato il collaterale fasullo, alzato i limiti di prelievo e svuotato i vault; gran parte del bottino è stata portata su Ethereum in poche ore. Drift ha sospeso depositi e prelievi; il token DRIFT ha perso oltre il 40%. La società forense Mandiant ha attribuito l'attacco a UNC6862, gruppo nordcoreano legato ad altri attori statuali (attribuzione riportata da Drift stessa nell'aggiornamento ufficiale del 3/6/2026). Recupero: Drift ha emesso un recovery token dedicato (SPL trasferibile, distinto dal token di governance DRIFT), 1 unità = 1 $ di perdita verificata, su un totale di 295.426.725,97 $ di perdite accertate. Il fondo di recupero è partito dai 3,8 M$ rimasti al protocollo e dovrebbe crescere con i ricavi trimestrali dell'exchange più impegni annunciati fino a 127,5 M$ da Tether e fino a 20 M$ da altri partner; il riscatto si apre solo quando il fondo supera i 5 M$, e chi riscatta in anticipo prende una quota pro-rata di quanto c'è in quel momento e rinuncia al resto del credito. Il rilancio è stato subordinato a due audit indipendenti (Ottersec e Asymmetric) e all'introduzione di un nuovo multisig governato dalla community, con dispositivi di firma dedicati e timelock su tutte le azioni amministrative critiche. L'1/7/2026 il protocollo è stato ribattezzato Velocity ed è ripartito come exchange di soli perpetual regolati in USDT (non più USDC), con una linea di credito di Tether. Alla data di verifica gli utenti NON risultano rimborsati: l'ultimo aggiornamento ufficiale sul recupero è quello del 3/6/2026, che non annuncia né il raggiungimento della soglia dei 5 M$ né l'apertura dei riscatti, e rinvia a comunicazioni successive "i dettagli su meccanica e tempi del recupero". Drift BET gira sulla stessa infrastruttura del protocollo colpito: la sospensione di depositi e prelievi e il successivo reboot hanno fermato anche i mercati predittivi, e la migrazione del settlement da USDC a USDT riguarda l'intera piattaforma.

Ultime informazioni verificate

L'1/4/2026 Drift Protocol ha perso 295,7 M$ di fondi utenti in circa 12 minuti, su 31 prelievi. Secondo la ricostruzione di TRM Labs l'attacco era preparato da settimane: dall'11/3 i fondi per l'infrastruttura erano usciti da Tornado Cash; fra il 23 e il 30/3 sono stati creati account "durable nonce" di Solana per pre-firmare transazioni ad esecuzione differita, e i firmatari del Security Council sono stati indotti con social engineering ad approvare autorizzazioni amministrative nascoste; il 27/3 Drift aveva rimosso il timelock del Security Council, azzerando la finestra di rilevamento. In parallelo gli attaccanti avevano fabbricato un asset fittizio (CVT, CarbonVote Token, creato il 12/3 con 750 M di unità), ancorato a circa 1 $ con un piccolo pool Raydium e wash trading e dato in pasto a un oracolo da loro controllato: gli oracoli di Drift lo hanno accettato come collaterale valido per centinaia di milioni. L'1/4 le transazioni pre-firmate hanno depositato il collaterale fasullo, alzato i limiti di prelievo e svuotato i vault; gran parte del bottino è stata portata su Ethereum in poche ore. Drift ha sospeso depositi e prelievi; il token DRIFT ha perso oltre il 40%. La società forense Mandiant ha attribuito l'attacco a UNC6862, gruppo nordcoreano legato ad altri attori statuali (attribuzione riportata da Drift stessa nell'aggiornamento ufficiale del 3/6/2026). Recupero: Drift ha emesso un recovery token dedicato (SPL trasferibile, distinto dal token di governance DRIFT), 1 unità = 1 $ di perdita verificata, su un totale di 295.426.725,97 $ di perdite accertate. Il fondo di recupero è partito dai 3,8 M$ rimasti al protocollo e dovrebbe crescere con i ricavi trimestrali dell'exchange più impegni annunciati fino a 127,5 M$ da Tether e fino a 20 M$ da altri partner; il riscatto si apre solo quando il fondo supera i 5 M$, e chi riscatta in anticipo prende una quota pro-rata di quanto c'è in quel momento e rinuncia al resto del credito. Il rilancio è stato subordinato a due audit indipendenti (Ottersec e Asymmetric) e all'introduzione di un nuovo multisig governato dalla community, con dispositivi di firma dedicati e timelock su tutte le azioni amministrative critiche. L'1/7/2026 il protocollo è stato ribattezzato Velocity ed è ripartito come exchange di soli perpetual regolati in USDT (non più USDC), con una linea di credito di Tether. Alla data di verifica gli utenti NON risultano rimborsati: l'ultimo aggiornamento ufficiale sul recupero è quello del 3/6/2026, che non annuncia né il raggiungimento della soglia dei 5 M$ né l'apertura dei riscatti, e rinvia a comunicazioni successive "i dettagli su meccanica e tempi del recupero".

Ultime informazioni verificate

La Federal Court ha condannato Oztures Trading (Binance Australia Derivatives) su azione ASIC: fra luglio 2022 e aprile 2023 oltre l'85% dei clienti australiani è stato classificato come 'wholesale', esponendo 524 investitori retail a derivati crypto senza le tutele previste. Quel gruppo ha subito 8,66 milioni di perdite e pagato 3,89 milioni di commissioni; circa 13,1 milioni di indennizzi erano già stati versati nel 2023.

Ultime informazioni verificate

Tra il 21 febbraio 2022 e il 24 aprile 2024 un dipendente di una filiale della banca ha consultato senza alcuna motivazione professionale le informazioni bancarie di 3.573 clienti, con oltre 6.600 accessi; fra i profili consultati figurano anche persone politicamente esposte. Per oltre due anni i controlli interni non hanno rilevato nulla. Il Garante per la protezione dei dati personali ha contestato l'inadeguatezza complessiva delle misure tecniche e organizzative — un modello operativo che consentiva agli operatori di interrogare in piena circolarità l'intera base clienti, senza controlli rafforzati sui profili più esposti — oltre alla notifica della violazione incompleta e tardiva e alla comunicazione agli interessati, arrivata solo dopo l'ordine dell'Autorità del 5 novembre 2024. Con il provvedimento n. 208 del 26 marzo 2026 il Garante ha irrogato una sanzione amministrativa di 31,8 milioni di euro, fra le più alte mai comminate in Italia e la più alta nel settore bancario. La banca si è opposta: il 13 luglio 2026 il Tribunale di Torino ha sospeso in via cautelare l'efficacia esecutiva del provvedimento, che il Garante ha di conseguenza rimosso temporaneamente dal proprio sito; il giudizio di opposizione è pendente. Va tenuta ferma la distinzione: la sanzione non è definitiva, la violazione dei dati sì — è la stessa Autorità ad averla accertata già nel novembre 2024, quando ordinò alla banca di informare i clienti coinvolti.

Ultime informazioni verificate

Tra il 21 febbraio 2022 e il 24 aprile 2024 un dipendente di una filiale della banca ha consultato senza alcuna motivazione professionale le informazioni bancarie di 3.573 clienti, con oltre 6.600 accessi; fra i profili consultati figurano anche persone politicamente esposte. Per oltre due anni i controlli interni non hanno rilevato nulla. Il Garante per la protezione dei dati personali ha contestato l'inadeguatezza complessiva delle misure tecniche e organizzative — un modello operativo che consentiva agli operatori di interrogare in piena circolarità l'intera base clienti, senza controlli rafforzati sui profili più esposti — oltre alla notifica della violazione incompleta e tardiva e alla comunicazione agli interessati, arrivata solo dopo l'ordine dell'Autorità del 5 novembre 2024. Con il provvedimento n. 208 del 26 marzo 2026 il Garante ha irrogato una sanzione amministrativa di 31,8 milioni di euro, fra le più alte mai comminate in Italia e la più alta nel settore bancario. La banca si è opposta: il 13 luglio 2026 il Tribunale di Torino ha sospeso in via cautelare l'efficacia esecutiva del provvedimento, che il Garante ha di conseguenza rimosso temporaneamente dal proprio sito; il giudizio di opposizione è pendente. Va tenuta ferma la distinzione: la sanzione non è definitiva, la violazione dei dati sì — è la stessa Autorità ad averla accertata già nel novembre 2024, quando ordinò alla banca di informare i clienti coinvolti.

Ultime informazioni verificate

Tra il 21 febbraio 2022 e il 24 aprile 2024 un dipendente di una filiale della banca ha consultato senza alcuna motivazione professionale le informazioni bancarie di 3.573 clienti, con oltre 6.600 accessi; fra i profili consultati figurano anche persone politicamente esposte. Per oltre due anni i controlli interni non hanno rilevato nulla. Il Garante per la protezione dei dati personali ha contestato l'inadeguatezza complessiva delle misure tecniche e organizzative — un modello operativo che consentiva agli operatori di interrogare in piena circolarità l'intera base clienti, senza controlli rafforzati sui profili più esposti — oltre alla notifica della violazione incompleta e tardiva e alla comunicazione agli interessati, arrivata solo dopo l'ordine dell'Autorità del 5 novembre 2024. Con il provvedimento n. 208 del 26 marzo 2026 il Garante ha irrogato una sanzione amministrativa di 31,8 milioni di euro, fra le più alte mai comminate in Italia e la più alta nel settore bancario. La banca si è opposta: il 13 luglio 2026 il Tribunale di Torino ha sospeso in via cautelare l'efficacia esecutiva del provvedimento, che il Garante ha di conseguenza rimosso temporaneamente dal proprio sito; il giudizio di opposizione è pendente. Va tenuta ferma la distinzione: la sanzione non è definitiva, la violazione dei dati sì — è la stessa Autorità ad averla accertata già nel novembre 2024, quando ordinò alla banca di informare i clienti coinvolti.

Ultime informazioni verificate

Tra il 21 febbraio 2022 e il 24 aprile 2024 un dipendente di una filiale della banca ha consultato senza alcuna motivazione professionale le informazioni bancarie di 3.573 clienti, con oltre 6.600 accessi; fra i profili consultati figurano anche persone politicamente esposte. Per oltre due anni i controlli interni non hanno rilevato nulla. Il Garante per la protezione dei dati personali ha contestato l'inadeguatezza complessiva delle misure tecniche e organizzative — un modello operativo che consentiva agli operatori di interrogare in piena circolarità l'intera base clienti, senza controlli rafforzati sui profili più esposti — oltre alla notifica della violazione incompleta e tardiva e alla comunicazione agli interessati, arrivata solo dopo l'ordine dell'Autorità del 5 novembre 2024. Con il provvedimento n. 208 del 26 marzo 2026 il Garante ha irrogato una sanzione amministrativa di 31,8 milioni di euro, fra le più alte mai comminate in Italia e la più alta nel settore bancario. La banca si è opposta: il 13 luglio 2026 il Tribunale di Torino ha sospeso in via cautelare l'efficacia esecutiva del provvedimento, che il Garante ha di conseguenza rimosso temporaneamente dal proprio sito; il giudizio di opposizione è pendente. Va tenuta ferma la distinzione: la sanzione non è definitiva, la violazione dei dati sì — è la stessa Autorità ad averla accertata già nel novembre 2024, quando ordinò alla banca di informare i clienti coinvolti.

Ultime informazioni verificate

Tra il 21 febbraio 2022 e il 24 aprile 2024 un dipendente di una filiale della banca ha consultato senza alcuna motivazione professionale le informazioni bancarie di 3.573 clienti, con oltre 6.600 accessi; fra i profili consultati figurano anche persone politicamente esposte. Per oltre due anni i controlli interni non hanno rilevato nulla. Il Garante per la protezione dei dati personali ha contestato l'inadeguatezza complessiva delle misure tecniche e organizzative — un modello operativo che consentiva agli operatori di interrogare in piena circolarità l'intera base clienti, senza controlli rafforzati sui profili più esposti — oltre alla notifica della violazione incompleta e tardiva e alla comunicazione agli interessati, arrivata solo dopo l'ordine dell'Autorità del 5 novembre 2024. Con il provvedimento n. 208 del 26 marzo 2026 il Garante ha irrogato una sanzione amministrativa di 31,8 milioni di euro, fra le più alte mai comminate in Italia e la più alta nel settore bancario. La banca si è opposta: il 13 luglio 2026 il Tribunale di Torino ha sospeso in via cautelare l'efficacia esecutiva del provvedimento, che il Garante ha di conseguenza rimosso temporaneamente dal proprio sito; il giudizio di opposizione è pendente. Va tenuta ferma la distinzione: la sanzione non è definitiva, la violazione dei dati sì — è la stessa Autorità ad averla accertata già nel novembre 2024, quando ordinò alla banca di informare i clienti coinvolti.

Ultime informazioni verificate

Fra il 2023 e il 2024 Intesa Sanpaolo ha selezionato i clienti da trasferire alla controllata al 100% Isybank incrociando criteri predefiniti: età non superiore a 65 anni, uso regolare dei canali digitali nell'ultimo anno, assenza di prodotti d'investimento e disponibilità finanziarie sotto una certa soglia. Il Garante per la protezione dei dati personali ha accertato che questa profilazione è avvenuta senza una base giuridica adeguata e che i clienti non potevano ragionevolmente prevedere quel trattamento: le comunicazioni sono state per lo più depositate nella sezione archivio dell'app di Intesa Sanpaolo, in pieno periodo estivo, senza avvisi di rilievo (notifiche push o SMS) che ne segnalassero la portata. Il passaggio ha comportato una modifica unilaterale del contratto: nuovo IBAN e operatività solo digitale, senza più lo sportello. Il procedimento era nato da numerosi reclami dei correntisti. Con il provvedimento n. 163 del 12 marzo 2026 il Garante ha irrogato a Intesa Sanpaolo S.p.A. una sanzione amministrativa di 17.628.000 euro. Isybank S.p.A., la controllata destinataria dei conti, non è stata sanzionata autonomamente. Il provvedimento è stato rimosso temporaneamente dal sito dell'Autorità ai sensi dell'art. 5 del d.lgs. 150/2011 perché il giudizio di opposizione è pendente. La distinzione va tenuta ferma: la sanzione non è definitiva, l'illiceità del trattamento è stata accertata dall'Autorità.

Ultime informazioni verificate

Fra il 2023 e il 2024 Intesa Sanpaolo ha selezionato i clienti da trasferire alla controllata al 100% Isybank incrociando criteri predefiniti: età non superiore a 65 anni, uso regolare dei canali digitali nell'ultimo anno, assenza di prodotti d'investimento e disponibilità finanziarie sotto una certa soglia. Il Garante per la protezione dei dati personali ha accertato che questa profilazione è avvenuta senza una base giuridica adeguata e che i clienti non potevano ragionevolmente prevedere quel trattamento: le comunicazioni sono state per lo più depositate nella sezione archivio dell'app di Intesa Sanpaolo, in pieno periodo estivo, senza avvisi di rilievo (notifiche push o SMS) che ne segnalassero la portata. Il passaggio ha comportato una modifica unilaterale del contratto: nuovo IBAN e operatività solo digitale, senza più lo sportello. Il procedimento era nato da numerosi reclami dei correntisti. Con il provvedimento n. 163 del 12 marzo 2026 il Garante ha irrogato a Intesa Sanpaolo S.p.A. una sanzione amministrativa di 17.628.000 euro. Isybank S.p.A., la controllata destinataria dei conti, non è stata sanzionata autonomamente. Il provvedimento è stato rimosso temporaneamente dal sito dell'Autorità ai sensi dell'art. 5 del d.lgs. 150/2011 perché il giudizio di opposizione è pendente. La distinzione va tenuta ferma: la sanzione non è definitiva, l'illiceità del trattamento è stata accertata dall'Autorità.

Ultime informazioni verificate

Fra il 2023 e il 2024 Intesa Sanpaolo ha selezionato i clienti da trasferire alla controllata al 100% Isybank incrociando criteri predefiniti: età non superiore a 65 anni, uso regolare dei canali digitali nell'ultimo anno, assenza di prodotti d'investimento e disponibilità finanziarie sotto una certa soglia. Il Garante per la protezione dei dati personali ha accertato che questa profilazione è avvenuta senza una base giuridica adeguata e che i clienti non potevano ragionevolmente prevedere quel trattamento: le comunicazioni sono state per lo più depositate nella sezione archivio dell'app di Intesa Sanpaolo, in pieno periodo estivo, senza avvisi di rilievo (notifiche push o SMS) che ne segnalassero la portata. Il passaggio ha comportato una modifica unilaterale del contratto: nuovo IBAN e operatività solo digitale, senza più lo sportello. Il procedimento era nato da numerosi reclami dei correntisti. Con il provvedimento n. 163 del 12 marzo 2026 il Garante ha irrogato a Intesa Sanpaolo S.p.A. una sanzione amministrativa di 17.628.000 euro. Isybank S.p.A., la controllata destinataria dei conti, non è stata sanzionata autonomamente. Il provvedimento è stato rimosso temporaneamente dal sito dell'Autorità ai sensi dell'art. 5 del d.lgs. 150/2011 perché il giudizio di opposizione è pendente. La distinzione va tenuta ferma: la sanzione non è definitiva, l'illiceità del trattamento è stata accertata dall'Autorità.

Ultime informazioni verificate

Fra il 2023 e il 2024 Intesa Sanpaolo ha selezionato i clienti da trasferire alla controllata al 100% Isybank incrociando criteri predefiniti: età non superiore a 65 anni, uso regolare dei canali digitali nell'ultimo anno, assenza di prodotti d'investimento e disponibilità finanziarie sotto una certa soglia. Il Garante per la protezione dei dati personali ha accertato che questa profilazione è avvenuta senza una base giuridica adeguata e che i clienti non potevano ragionevolmente prevedere quel trattamento: le comunicazioni sono state per lo più depositate nella sezione archivio dell'app di Intesa Sanpaolo, in pieno periodo estivo, senza avvisi di rilievo (notifiche push o SMS) che ne segnalassero la portata. Il passaggio ha comportato una modifica unilaterale del contratto: nuovo IBAN e operatività solo digitale, senza più lo sportello. Il procedimento era nato da numerosi reclami dei correntisti. Con il provvedimento n. 163 del 12 marzo 2026 il Garante ha irrogato a Intesa Sanpaolo S.p.A. una sanzione amministrativa di 17.628.000 euro. Isybank S.p.A., la controllata destinataria dei conti, non è stata sanzionata autonomamente. Il provvedimento è stato rimosso temporaneamente dal sito dell'Autorità ai sensi dell'art. 5 del d.lgs. 150/2011 perché il giudizio di opposizione è pendente. La distinzione va tenuta ferma: la sanzione non è definitiva, l'illiceità del trattamento è stata accertata dall'Autorità.

Ultime informazioni verificate

Fra il 2023 e il 2024 Intesa Sanpaolo ha selezionato i clienti da trasferire alla controllata al 100% Isybank incrociando criteri predefiniti: età non superiore a 65 anni, uso regolare dei canali digitali nell'ultimo anno, assenza di prodotti d'investimento e disponibilità finanziarie sotto una certa soglia. Il Garante per la protezione dei dati personali ha accertato che questa profilazione è avvenuta senza una base giuridica adeguata e che i clienti non potevano ragionevolmente prevedere quel trattamento: le comunicazioni sono state per lo più depositate nella sezione archivio dell'app di Intesa Sanpaolo, in pieno periodo estivo, senza avvisi di rilievo (notifiche push o SMS) che ne segnalassero la portata. Il passaggio ha comportato una modifica unilaterale del contratto: nuovo IBAN e operatività solo digitale, senza più lo sportello. Il procedimento era nato da numerosi reclami dei correntisti. Con il provvedimento n. 163 del 12 marzo 2026 il Garante ha irrogato a Intesa Sanpaolo S.p.A. una sanzione amministrativa di 17.628.000 euro. Isybank S.p.A., la controllata destinataria dei conti, non è stata sanzionata autonomamente. Il provvedimento è stato rimosso temporaneamente dal sito dell'Autorità ai sensi dell'art. 5 del d.lgs. 150/2011 perché il giudizio di opposizione è pendente. La distinzione va tenuta ferma: la sanzione non è definitiva, l'illiceità del trattamento è stata accertata dall'Autorità.

Ultime informazioni verificate

Fra il 2023 e il 2024 Intesa Sanpaolo ha selezionato i clienti da trasferire alla controllata al 100% Isybank incrociando criteri predefiniti: età non superiore a 65 anni, uso regolare dei canali digitali nell'ultimo anno, assenza di prodotti d'investimento e disponibilità finanziarie sotto una certa soglia. Il Garante per la protezione dei dati personali ha accertato che questa profilazione è avvenuta senza una base giuridica adeguata e che i clienti non potevano ragionevolmente prevedere quel trattamento: le comunicazioni sono state per lo più depositate nella sezione archivio dell'app di Intesa Sanpaolo, in pieno periodo estivo, senza avvisi di rilievo (notifiche push o SMS) che ne segnalassero la portata. Il passaggio ha comportato una modifica unilaterale del contratto: nuovo IBAN e operatività solo digitale, senza più lo sportello. Il procedimento era nato da numerosi reclami dei correntisti. Con il provvedimento n. 163 del 12 marzo 2026 il Garante ha irrogato a Intesa Sanpaolo S.p.A. una sanzione amministrativa di 17.628.000 euro. Isybank S.p.A., la controllata destinataria dei conti, non è stata sanzionata autonomamente. Il provvedimento è stato rimosso temporaneamente dal sito dell'Autorità ai sensi dell'art. 5 del d.lgs. 150/2011 perché il giudizio di opposizione è pendente. La distinzione va tenuta ferma: la sanzione non è definitiva, l'illiceità del trattamento è stata accertata dall'Autorità.

Ultime informazioni verificate

Il 1° marzo 2026 Bitrefill è stata attaccata. Nel rapporto ufficiale del 17/3/2026 l'azienda ricostruisce la catena: il primo accesso è arrivato dal laptop compromesso di un dipendente, da cui è stata esfiltrata una credenziale obsoleta; quella credenziale dava accesso a uno snapshot con i segreti di produzione, e da lì gli attaccanti hanno esteso l'accesso all'infrastruttura, a parti del database e ad alcuni wallet. L'incidente è stato scoperto notando acquisti anomali presso alcuni fornitori: le scorte di gift card e le linee di fornitura venivano sfruttate e, contemporaneamente, alcuni hot wallet venivano svuotati verso indirizzi controllati dagli attaccanti. Bitrefill ha spento tutti i sistemi come risposta di contenimento. L'azienda attribuisce l'attacco al gruppo nordcoreano Lazarus/Bluenoroff per modus operandi, malware, tracciamento on-chain e indirizzi IP ed email già visti in attacchi precedenti. Sul lato dati: Bitrefill dichiara che i dati dei clienti non erano l'obiettivo e che non c'è prova di un'esfiltrazione dell'intero database, ma conferma che circa 18.500 record d'acquisto sono stati consultati, contenenti email, indirizzo crypto di pagamento e metadati fra cui l'IP; per circa 1.000 acquisti era stato richiesto anche un nome, cifrato nel database, che l'azienda tratta comunque come potenzialmente accessibile perché gli attaccanti potrebbero aver ottenuto le chiavi di cifratura — quei clienti sono stati avvisati singolarmente via email. Bitrefill non richiede KYC obbligatorio e i dati di verifica, quando forniti, sono conservati solo presso il fornitore KYC esterno. L'importo sottratto non è mai stato reso pubblico, né dall'azienda né dalle testate. I saldi degli utenti non sono stati intaccati e l'azienda ha dichiarato che assorbirà le perdite dal capitale operativo, dichiarandosi ben capitalizzata e profittevole da anni. Sistemi, pagamenti e volumi sono tornati alla normalità.

Ultime informazioni verificate

Il 15/2/2026 alle 18:01 UTC l'esecuzione della proposta MIP-X43, che attivava i wrapper Chainlink OEV sui Core Market di Base e Optimism, ha introdotto un errore nella configurazione dell'oracolo del cbETH: invece di moltiplicare il feed cbETH/ETH per il prezzo ETH/USD, il sistema usava il solo rapporto di cambio, quotando il cbETH circa 1,12 $ invece di ~2.200 $. Secondo il post-mortem ufficiale pubblicato sul forum di governance da Anthias Labs (risk manager del protocollo), i bot di liquidazione hanno immediatamente aggredito le posizioni garantite da cbETH, sequestrando 1 cbETH a fronte di circa 1 $ di debito rimborsato: molti utenti hanno perso l'intero collaterale conservando comunque un debito residuo, mentre un numero minore di indirizzi ha sfruttato il prezzo distorto per sovra-indebitarsi in cbETH. L'anomalia è stata rilevata alle 18:05 UTC e i supply/borrow cap del mercato cbETH sono stati portati a 0,01, ma le liquidazioni sono proseguite perché correggere l'oracolo richiedeva i 5 giorni di voto e timelock della governance. Le conseguenze non sono chiuse: nel report riserve ufficiale del 24/8/2026 il mercato cbETH su Base risulta il primo per debito inesigibile, 1.768.665 $ a fronte di riserve per 2,81 cbETH (~7.361 $) e di un piano di rimborso che per il cbETH stanzia 0,00 $. Il rimborso tramite riserve (repayBorrowBehalf) copre solo i mutuatari liquidati fra il 14 e il 18 febbraio: chi aveva semplicemente depositato cbETH senza prendere prestiti non rientra in alcun piano dichiarato e sul forum ufficiale risulta tuttora incapace di prelevare (discussione aperta il 23/8, ancora attiva il 5/9/2026). Per la carta il nesso è lo stesso dell'incidente MAMO: la spesa a credito si appoggia ai mercati Moonwell su Base, e il cbETH è uno di quei mercati.

Ultime informazioni verificate

Il 9 febbraio 2026 il Department of Financial Institutions dello Stato di Washington ha emesso un Consent Order (n. C-25-3892-26-CO01) nei confronti di CoinZoom, Inc. (NMLS #1735216). Chiude il procedimento aperto con lo Statement of Charges n. C-25-3892-25-SC01 del 27 agosto 2025, in cui l'autorità aveva annunciato l'intenzione di revocare la licenza. Fonte primaria: i due atti, pubblicati per intero dall'autorità e letti da noi. COSA ORDINA. Cessazione delle violazioni dello Uniform Money Services Act; restituzione della licenza di money transmitter entro 90 giorni dall'emissione; divieto di presentarsi come money transmitter autorizzato per i residenti dello Stato senza una nuova licenza; obbligo di avvisare tutti i clienti dello Stato entro 10 giorni della restituzione della licenza, con istruzioni chiare su come prelevare i fondi e chiudere il conto; versamento delle somme non reclamate al programma Unclaimed Property dello Stato entro 90 giorni; esclusione dal settore del money transmission in Washington fino al 9 febbraio 2029; multa di 150.000 dollari, di cui 50.000 sospesi fino al 9 febbraio 2029 e cancellati a quella data se l'ordine viene rispettato; più 4.170 dollari di spese d'indagine. L'azienda non ammette alcuna responsabilità e rinuncia all'udienza: è la formula standard di questi accordi, e va riportata così. LA CONTESTAZIONE CHE PESA DAVVERO. Non sono ritardi di segreteria. L'esame dell'autorità ha coperto il periodo 1 aprile 2022 – 31 dicembre 2024 e il primo addebito è patrimoniale: nel 2022, nel 2023 e nel 2024 la società era tenuta a mantenere un patrimonio netto tangibile di 3 milioni di dollari e «in ciascuno di quegli anni ha mantenuto meno di un terzo» di quella soglia. Il secondo è una «pratica commerciale non sicura e non solida»: nel 2024 i conti non erano accurati, con il rapporto trimestrale all'autorità e la bozza di bilancio revisionato al 31 dicembre 2024 che riportavano cifre in contrasto fra loro. Seguono: mancata comunicazione di una causa civile del 9 novembre 2023; mancata comunicazione tempestiva di almeno tre provvedimenti ricevuti da altri Stati fra il 2024 e il 2025 — un ordine di sospensione dell'Ohio, un consent order del Texas e un ordine di sospensione della Carolina del Nord; rapporti annuali che non quadravano con i trimestrali per il 2022 e per il 2023; e l'impossibilità, a febbraio 2025, di dimostrare che la fideiussione da 100.000 dollari fosse adeguata al volume di denaro trasmesso. COSA NON DICE QUESTO ATTO. Non c'è nessun furto, nessuna violazione di dati, nessuna perdita accertata di fondi dei clienti. La definizione di legge che l'autorità applica, però, va letta: «pratica non sicura o non solida» significa una condotta che «crea la probabilità di una perdita materiale, dell'insolvenza o della dissipazione degli attivi del licenziatario, o che comunque pregiudica materialmente la condizione finanziaria del licenziatario o gli interessi dei suoi clienti». È un giudizio sulla solidità di chi tiene i soldi, non sul suo sito. STATO. L'ordine è in vigore e i suoi obblighi corrono fino a febbraio 2029. Non abbiamo verificato in prima persona che la licenza sia stata effettivamente restituita nei 90 giorni né che i clienti dello Stato siano stati avvisati: per questo la voce resta aperta e non risolta. Al 26 settembre 2026 il procedimento in Washington risulta definito con questo accordo, mentre lo Statement of Charges dichiarava l'indagine «ancora in corso» alla sua data.

Ultime informazioni verificate

Incidente distinto e non collegato al furto dati del 2025. L'accesso improprio risale a dicembre 2025 ed è stato individuato dal team sicurezza; il collaboratore non lavora più per l'azienda. Dati esposti secondo gli screenshot dell'interfaccia di supporto trapelati su Telegram: email, nome, data di nascita, telefono, informazioni di verifica identità, saldi e storico transazioni. I clienti colpiti sono stati avvisati e hanno ricevuto servizi di protezione dal furto d'identità.

Ultime informazioni verificate

Rilievi dell'autorità tedesca a Bitpanda Asset Management sull'organizzazione aziendale, giudicata non conforme al §25a della legge bancaria. Bitpanda dichiara nel bilancio 2024 di aver rimosso tutte le carenze entro il primo trimestre 2025; i revisori interni segnalavano però non conformità ancora in corso e lacune documentali. Una nuova verifica di fine 2025 non ha esiti pubblici. Nessuna multa nota.

Ultime informazioni verificate

Il regolatore finanziario californiano ha accertato che Nexo Capital ha erogato prestiti garantiti da cripto ad almeno 5.456 californiani senza licenza e senza valutare la capacità di rimborso, violando la California Financing Law, più due violazioni della normativa a tutela dei consumatori finanziari. Oltre alla sanzione, Nexo deve trasferire entro 150 giorni i fondi dei residenti californiani a un'affiliata titolare di licenza. La condotta si riferisce al periodo luglio 2018 - novembre 2022, precedente all'uscita dagli Stati Uniti.

Ultime informazioni verificate

Dopo l'ispezione dal 16 settembre al 20 dicembre 2024, la Banca d'Italia ha accertato a carico di Banca Profilo, la banca che emette conto, wallet, carta e deposito Tinaba, carenze nell'organizzazione, nelle procedure e nei controlli antiriciclaggio: profilatura della clientela, adeguata verifica e segnalazione delle operazioni sospette. Con il provvedimento n. 4 del 13/1/2026 le ha inflitto una sanzione di 190.000 €, tenendo conto dell'azione correttiva avviata. Sulla pagina ufficiale non risulta alcuna impugnazione. Le irregolarità riguardano i controlli interni, non i fondi dei clienti.

Ultime informazioni verificate

Dopo l'ispezione dal 16 settembre al 20 dicembre 2024, la Banca d'Italia ha accertato a carico di Banca Profilo, la banca che emette conto, wallet, carta e deposito Tinaba, carenze nell'organizzazione, nelle procedure e nei controlli antiriciclaggio: profilatura della clientela, adeguata verifica e segnalazione delle operazioni sospette. Con il provvedimento n. 4 del 13/1/2026 le ha inflitto una sanzione di 190.000 €, tenendo conto dell'azione correttiva avviata. Sulla pagina ufficiale non risulta alcuna impugnazione. Le irregolarità riguardano i controlli interni, non i fondi dei clienti.

Ultime informazioni verificate

Un accesso non autorizzato ai sistemi cloud di Global-e, fornitore terzo che agisce da merchant of record per parte degli ordini internazionali su Ledger.com, ha esposto nomi e dati di contatto di clienti Ledger. Non sono stati coinvolti dati di pagamento, credenziali, seed phrase o saldi: Ledger dichiara che i propri sistemi, hardware e software non sono stati violati. Il numero di clienti coinvolti non è stato comunicato. Ledger non è l'unico marchio colpito.

Ultime informazioni verificate

La fonte è la notifica di violazione che SoFi stessa ha depositato presso la Procura generale dello Stato di Washington il 26 gennaio 2026, firmata da Valerie Franch, Associate General Counsel, Privacy, «a nome di SoFi Bank, N.A. e Social Finance, LLC». Testo ufficiale: «Intorno al 2 gennaio 2026 SoFi ha scoperto attività non autorizzata nei suoi sistemi, avvenuta come risultato di social engineering». Non un exploit tecnico, quindi: qualcuno si è fatto dare l'accesso. Cosa è stato preso, con le parole della notifica: «nome, indirizzo, indirizzo email, numeri di telefono, data di nascita e informazioni su impiego e istruzione di circa 38.049 residenti dello Stato» sono stati «acquisiti dall'attore non autorizzato». Cosa NON è stato preso, e SoFi lo mette per iscritto anche nella lettera ai clienti: «questo truffatore non ha mai avuto accesso alla tua password, ai numeri di conto o ai numeri della carta di debito/credito». Nessun conto compromesso e, alla data della notifica, «nessuna segnalazione di frode, furto d'identità o compromissione di conti» collegata all'incidente. ⚠️ Il numero da leggere bene: 38.049 è il conteggio dei soli residenti dello Stato di Washington, perché è l'unico che la legge di quello Stato obbliga a dichiarare. **SoFi non ha mai reso pubblico un totale nazionale.** In rete circolano stime fra 500.000 e 1,6 milioni di clienti: non vengono da SoFi né da una testata riconosciuta e per questo non sono scritte qui come fatto. Il dato certo è 38.049 in un solo Stato, e l'ordine di grandezza complessivo resta non dichiarato. Tempi, dal registro ufficiale della Procura generale: accesso non autorizzato fra il 29 dicembre 2025 e il 2 gennaio 2026, dati esfiltrati fra il 31 dicembre e il 3 gennaio, notifica il 26 gennaio — entro i 30 giorni previsti. «Nessuna attività non autorizzata è stata osservata dopo il 3 gennaio 2026». SoFi dichiara di aver ingaggiato CrowdStrike e altri consulenti esterni e di aver informato le forze dell'ordine; alla clientela ha applicato «monitoraggio aggiuntivo e altre tutele» sui conti, con la conseguenza pratica che può chiedere informazioni in più a chi contatta l'assistenza o prova a modificare il conto. 📌 Una cosa che manca, e si nota: la notifica **non offre un servizio di monitoraggio del credito** ai colpiti. L'allegato si limita alle istruzioni generiche su come ottenere da sé il referto creditizio gratuito e come attivare un fraud alert o un blocco presso Equifax, Experian e TransUnion. Su una violazione che espone data di nascita e dati di impiego è una scelta che l'utente paga di tasca propria.

Ultime informazioni verificate

Il 24 dicembre 2025 una versione «non autorizzata e malevola» dell'estensione per browser di Trust Wallet, la 2.68, è stata pubblicata sul Chrome Web Store «fuori dal nostro normale processo di rilascio»: sono parole di Trust Wallet nell'aggiornamento ufficiale alla community, pubblicato il 30 dicembre 2025 e aggiornato il 17 luglio 2026. Chi apriva l'estensione su desktop con quella versione si faceva svuotare il wallet. I numeri ufficiali: «2.520 indirizzi colpiti da questo incidente e svuotati dagli attaccanti, con circa 8,5 milioni di dollari di attività coinvolte, riconducibili a 17 indirizzi controllati dall'attaccante». La correzione è la versione 2.69, da installare al posto della 2.68. Sulla causa Trust Wallet non pubblica un post-mortem tecnico ma un'attribuzione dichiarata probabile: «riteniamo che l'incidente dell'estensione 2.68 sia probabilmente collegato all'incidente Sha1-Hulud di novembre, diffuso in tutto il settore», che avrebbe dato all'attaccante «accesso al codice sorgente dell'estensione e alla chiave API del Chrome Web Store» — cioè la chiave con cui si pubblica un aggiornamento firmato come se venisse dall'azienda. La cifra è cresciuta nel tempo, e vale ricordarlo perché in rete circolano tutte e tre: il 25 dicembre ZachXBT parlava di «oltre 6 milioni» sulla base di una prima lista di indirizzi, Changpeng Zhao lo stesso giorno di «7 milioni finora», e solo il conteggio ufficiale successivo è arrivato a 8,5 milioni. Sul rimborso: Trust Wallet ha deciso di rimborsare «volontariamente» gli utenti colpiti, ma il processo NON è chiuso. L'azienda dichiara di aver ricevuto «oltre 5.000 richieste» contro 2.520 indirizzi verificati, «segno di un numero significativo di richieste duplicate o false», e che «l'esame delle richieste è in corso e gestito caso per caso». Al 30 settembre 2026 non risulta alcuna dichiarazione al passato che dica che i rimborsi sono stati completati: per questo l'incidente resta aperto. Perimetro, perché conta: colpita l'estensione per browser su desktop, non l'app mobile.

Ultime informazioni verificate

Bybit ha annunciato la dismissione graduale dei servizi per i residenti giapponesi a partire dal 2026, per mancata registrazione presso la Financial Services Agency giapponese. Le nuove iscrizioni erano già sospese da ottobre 2025. La FSA aveva emesso ripetuti avvertimenti pubblici per esercizio non registrato e nel 2025 aveva chiesto ad Apple e Google la rimozione dell'app. Restrizioni ancora in corso.

Ultime informazioni verificate

Il gruppo criminale noto come ShinyHunters ha ottenuto accesso non autorizzato a un sistema legacy di archiviazione file su cloud gestito da un fornitore terzo, usato da Checkout.com nel 2020 e negli anni precedenti per documenti operativi interni e materiali di onboarding dei merchant, e ha chiesto un riscatto. Nel comunicato del proprio newsroom, firmato dal direttore tecnico Mariano Albera, la società dichiara: «i threat actor non hanno, e non hanno mai avuto, accesso ai fondi dei merchant o ai numeri di carta», e che l'incidente non ha colpito la piattaforma di elaborazione dei pagamenti in produzione. Checkout.com ha deciso di non pagare: ha rifiutato l'estorsione e ha annunciato di destinare l'importo del riscatto alla ricerca sulla cybersicurezza (Carnegie Mellon University e Oxford Cyber Security Centre), dichiarando inoltre di lavorare con forze dell'ordine e autorità di vigilanza e di aver avviato l'identificazione e il contatto dei soggetti potenzialmente impattati. Il perimetro non è quantificato dalla società; la stampa di settore lo colloca sotto il 25% dell'attuale base merchant. Sulla data serve una precisazione di metodo, perché la pagina ufficiale non ne porta nessuna: il comunicato dice soltanto che il contatto degli estorsori è arrivato «la settimana scorsa». La data qui riportata, 14 novembre 2025, è quella della pubblicazione del comunicato, fissata su due fonti indipendenti (BleepingComputer, che data l'articolo al 14 novembre 2025, e Security Boulevard). La violazione in sé riguarda dati del 2020 e precedenti; la data di intrusione non è stata resa pubblica. Trattandosi di documenti di onboarding merchant e materiali operativi interni, l'esposizione riguarda clienti aziendali della piattaforma, non i consumatori finali che pagano attraverso di essa.

Ultime informazioni verificate

Il 13 novembre 2025 un operatore ha bruciato circa 3 milioni di dollari di capitale proprio per provocare una perdita di circa 4,9 milioni al vault HLP di Hyperliquid, il fondo condiviso dove i depositanti mettono USDC. Secondo la ricostruzione di Cointelegraph, ripresa da The Defiant, ha prelevato 3 milioni di USDC da OKX, li ha distribuiti su diciannove portafogli e ha aperto oltre 26 milioni di dollari di posizioni lunghe a leva sul token POPCAT; ha poi costruito un muro di acquisto da circa 20 milioni attorno a 0,21 dollari, dando l'apparenza di un sostegno solido al prezzo, e lo ha cancellato. Sparito il sostegno, decine di posizioni sovraesposte sono state liquidate a forza e il vault HLP se le è assorbite. Il capitale dell'attaccante è stato azzerato: a differenza di una manipolazione classica, qui non c'era un profitto da incassare, e le analisi lo leggono come un attacco diretto alla struttura del protocollo, non al portafoglio di qualcuno. Nel corso dell'episodio la piattaforma ha sospeso per circa un'ora l'elaborazione dei prelievi dal ponte, usando la funzione di blocco d'emergenza, per poi riprendere. Non è stata pubblicata nessuna dichiarazione ufficiale che colleghi quella sospensione al caso POPCAT: il fatto è riportato dalla stampa di settore, la spiegazione no. Nessun exploit del codice, nessuna chiave compromessa, nessun fondo rubato ai singoli utenti: la perdita è caduta sul fondo comune, cioè sui depositanti di HLP in proporzione alla loro quota. È lo stesso schema del marzo 2025, con un dettaglio che lo rende più scomodo: qui l'attaccante ha accettato di perdere tutto per farlo.

Ultime informazioni verificate

Il 3 novembre 2025 alle 07:46 UTC un attaccante sfrutta un errore di arrotondamento nella funzione `upscale` dei Composable Stable Pool v5 su Balancer V2, su Ethereum e su più reti layer-2. Il post-mortem ufficiale quantifica il furto in 94,8 M$ di fondi utenti (le testate hanno riportato cifre lorde fra 116 e 128 M$, che includono quanto poi protetto o recuperato). Balancer dichiara che V3 e gli altri tipi di pool V2 non sono stati toccati. Recuperi parziali: ~19,7 M$ in osETH/osGNO rientrati tramite StakeWise, un hard fork di Gnosis Chain, e ~8 M$ restituiti agli LP colpiti con la proposta BIP-892. Balancer Labs ha chiuso come società a marzo 2026 e il DAO ha proseguito in forma ridotta. Il 14 settembre 2026 l'ex amministratore delegato di Balancer Labs, Marcus Hardt, ha depositato sul forum ufficiale la proposta di chiusura ordinata del protocollo con distribuzione del tesoro (~9,96 M$) ai possessori di BAL: voto Snapshot dal 25 al 29 settembre 2026 e, se approvata, il 30 ottobre 2026 i pool che possono essere messi in pausa passano a soli prelievi.

Ultime informazioni verificate

Provvedimento n. 344 del 28/10/2025 (pubblicato il 9/01/2026), dopo l'ispezione dal 9 luglio all'11 ottobre 2024: carenze nell'organizzazione e nei controlli, in particolare sul rischio di credito (artt. 53 e 67 TUB). Sanzione di 310.000 €. Nel fissare l'importo la Banca d'Italia ha tenuto conto dell'azione correttiva della banca. Sulla pagina ufficiale non risulta alcuna impugnazione.

Ultime informazioni verificate

Il 16 ottobre 2025 FINTRAC, l'unità di intelligence finanziaria canadese, ha imposto a Xeltox Enterprises Ltd. — che opera come Cryptomus, già Certa Payments Ltd., money services business costituita in British Columbia — una sanzione amministrativa di 176.960.190 dollari canadesi, annunciata il 22 ottobre. È la più alta mai comminata dall'autorità, per circa 2.600 violazioni della legge canadese su proventi di reato e finanziamento del terrorismo. LE VIOLAZIONI, NEI NUMERI DELL'AUTORITÀ. Mancata trasmissione di segnalazioni di operazioni sospette in 1.068 casi (luglio-agosto 2024); mancata segnalazione di 1.518 operazioni in valuta virtuale di importo pari o superiore a 10.000 dollari; inosservanza di una direttiva ministeriale; politiche di conformità inadeguate; valutazioni del rischio insufficienti; mancata comunicazione di variazioni ai dati della propria registrazione. PERCHÉ LA CIFRA È QUELLA. Non è la dimensione dell'azienda a spiegare il record, ma la natura di ciò che non è stato segnalato. FINTRAC indica fra le operazioni non riportate quelle sospettate di riguardare proventi del traffico di materiale pedopornografico, frode, pagamenti di ransomware ed elusione di sanzioni. La direttrice Sarah Paquet lo dice esplicitamente: «date le violazioni collegate al traffico di materiale pedopornografico, alla frode, al ransomware e all'elusione delle sanzioni, FINTRAC è stata costretta a questa azione di contrasto senza precedenti». Una parte delle segnalazioni mancanti riguardava, secondo l'autorità, transazioni con mercati darknet noti e portafogli legati ad attività criminali; fra le operazioni non riportate figurano anche 7.557 transazioni originate dall'Iran. IL RICORSO, E PERCHÉ QUI NON C'È UNA PAROLA DI PIÙ. Il 14 novembre 2025 Xeltox ha depositato ricorso alla Corte federale, sostenendo che i provvedimenti si fondano su «errori di diritto» e, nel merito, che FINTRAC ha sbagliato nel considerare Xeltox e Cryptomus «funzionalmente la stessa entità»: la società afferma di avere in licenza la piattaforma Cryptomus da una società panamense, Padel West S.A., e di non dover rispondere delle operazioni condotte da altri licenziatari. È una tesi, non un esito. Alla data di questa verifica non risulta alcuna decisione della Corte federale: la sanzione è stata imposta da un'autorità e non è stata né confermata né annullata da un giudice, e questa scheda non la presenta in nessuno dei due modi. UNA DISTINZIONE CHE SERVE A CHI LEGGE. Nulla di tutto questo dice che i fondi degli utenti siano stati sottratti: non è un hack e non è un buco di bilancio. Dice che i controlli antiriciclaggio del servizio sono stati giudicati gravemente insufficienti dall'autorità che li vigila, e che l'importo contestato è dell'ordine di grandezza che può mettere in discussione la continuità di un operatore di queste dimensioni.

Ultime informazioni verificate

Durante il crollo del 10 ottobre 2025 USDe è sceso brevemente sotto 0,66 dollari su Binance. L'exchange ha versato 283 milioni di indennizzi agli utenti futures, margin e loan che avevano USDe, BNSOL o wBETH come collaterale nella finestra 21:36-22:16 UTC.

Ultime informazioni verificate

Dopo una revisione di Apple sui programmi Cards-as-a-Service di Hong Kong, le carte emesse da questa data non possono essere abilitate ad Apple Pay. Le carte già aggiunte restano funzionanti e non vanno sostituite. RedotPay dichiara di lavorare con i partner a possibili soluzioni, senza indicare tempistiche.

Ultime informazioni verificate

Il Judicial Panel on Multidistrict Litigation ha centralizzato undici cause pendenti in quattro distretti, più otto potenziali cause collegate, nel Distretto Sud di New York. I ricorrenti contestano l'adeguatezza delle misure di sicurezza e i tempi di notifica della violazione. Coinbase punta a spostare le domande in arbitrato individuale sulla base della clausola compromissoria del contratto utente. Procedimento ancora aperto: non è stato verificato se sia intervenuta una decisione sulla mozione di arbitrato.

Ultime informazioni verificate

Il 19 luglio 2025 CoinDCX, il maggiore exchange indiano, ha subito la compromissione di un conto interno operativo. La notizia non è uscita per prima dalla società: a segnalarla è stato l'investigatore on-chain ZachXBT, e la conferma ufficiale è arrivata il giorno dopo. Il fatto, come lo descrive l'amministratore delegato Sumit Gupta: il conto colpito era «usato solo per la fornitura di liquidità su un exchange partner» e «l'incidente è stato rapidamente circoscritto isolando il conto operativo interessato». La parte che conta per chi tiene lì dei soldi è la successiva: «poiché i nostri conti operativi sono separati dai wallet dei clienti, l'esposizione è limitata a questo specifico conto ed è integralmente assorbita da noi, dalle nostre riserve di tesoreria». Gli asset dei clienti sono rimasti nei cold wallet e non sono stati toccati: nessun utente ha perso denaro, e la società ha poi ribadito pubblicamente, ad agosto 2025, che la perdita restava a suo carico. La cifra. Le fonti oscillano fra 43,4 e 44,2 milioni di dollari a seconda del momento di valutazione degli asset; qui è registrata come «circa 44 milioni». Il denaro è stato incanalato attraverso ponti fra Solana ed Ethereum, con il wallet dell'attaccante finanziato in partenza tramite Tornado Cash: la sequenza classica di chi ha già pianificato il riciclaggio. Come sono entrati — ed è la parte istruttiva. Secondo la polizia di Bengaluru, gli attaccanti non hanno forzato l'infrastruttura: hanno raggiunto un dipendente con una falsa offerta di lavoro freelance, convincendolo a installare un file malevolo sul portatile aziendale, e hanno poi usato quelle credenziali per entrare nei sistemi interni e ordinare i trasferimenti. Un dipendente è stato fermato a fine luglio 2025 nell'ambito dell'indagine: ha negato di aver partecipato consapevolmente. Non lo nominiamo, perché è un'accusa e non una condanna, e perché il dato utile al lettore non è il nome di una persona ma il meccanismo: il punto d'ingresso più efficace contro un exchange, nel 2025 come oggi, è una persona a cui si scrive fingendo di offrirle un lavoro. Dove sono i fondi. Non sono stati recuperati. Secondo le ricostruzioni pubbliche il bottino è stato consolidato in circa 4.443 ETH e 155.830 SOL e da allora è rimasto fermo. CoinDCX ha aperto un programma di ricompense — fino al 25% di quanto venisse recuperato, per un massimo intorno agli 11 milioni di dollari, aperto a ricercatori e analisti esterni — e ha riferito il caso al CERT-In, la struttura indiana di risposta agli incidenti informatici. Di quell'indagine non risulta pubblicata una conclusione ufficiale. Come va letto lo stato di questa voce: per gli utenti il capitolo è chiuso e non ha lasciato conseguenze, perché la perdita l'ha pagata la società. Per il fatto in sé non lo è: i fondi non sono tornati, la taglia è ancora aperta e non c'è l'accertamento di un'autorità. Per questo la voce resta aperta ma non segnalata come «in corso»: non sta succedendo nulla in questo momento.

Ultime informazioni verificate

L'ATTO, NELLE PAROLE DELL'AUTORITÀ. Il 10 giugno 2025 la Bank of Ghana pubblica l'avviso numero BG/GOV/SEC/2025/13, «Caution on unlicensed digital platforms – YellowPay and HanyPay», firmato dalla segretaria Sandra Thompson. Abbiamo letto il documento originale, e queste sono le sue parole: è giunto all'attenzione della Banca che «YellowPay, una piattaforma di pagamento digitale non approvata fornita da Yellow Card Financial Inc., un soggetto non licenziato dalla Banca, si sta attivamente promuovendo come fornitore di servizi di pagamento digitale, trading di criptovalute e soluzioni di rimessa transfrontaliera». La piattaforma, scrive l'autorità, «pretende di consentire agli utenti di effettuare pagamenti, inviare e ricevere moneta elettronica e stablecoin oltre confine, nonché convertire stablecoin in valuta locale; attività che richiedono una licenza appropriata dalla Bank of Ghana». Segue il secondo capo: YellowPay sarebbe impegnata in una collaborazione in corso con HanyPay, soggetto che «afferma di essere licenziato dalla Africa Diaspora Central Bank (ADCB)», per sviluppare e integrare una nuova stablecoin, AKL Lumi — e la Banca aggiunge due cose, che HanyPay «non è né licenziata né autorizzata a operare nella giurisdizione del Ghana» e che la Bank of Ghana «non riconosce l'ADCB come banca centrale». La parte che riguarda chi usa il servizio è l'ultima: l'avviso informa «il pubblico, le istituzioni finanziarie e tutte le parti interessate di ASTENERSI dall'intrattenere rapporti con Yellow Card Financial Inc. e HanyPay Ghana, sulla base del fatto che le loro attività non sono approvate dalla Bank of Ghana». LA RISPOSTA DELL'AZIENDA, CHE NEGA LA PREMESSA E NON SOLO I TONI. Yellow Card ha replicato pubblicamente l'11 giugno 2025 con una dichiarazione sul proprio blog. Il punto centrale è che il servizio contestato non esisterebbe in quel paese: «il servizio Yellow Pay non è nemmeno disponibile in Ghana». Sul resto: la società dichiara di non aver «mai lavorato alla stablecoin AKL Lumi», che HanyPay aveva avviato nel 2024 l'inserimento per l'accesso alla sua API di pagamenti ma «il processo non è mai stato completato», e che quello che c'è stato era «una normale richiesta di accesso alle API, non una partnership»; un comunicato del febbraio 2025 che annunciava un'integrazione è definito falso e non autorizzato. Yellow Card ricorda inoltre di avere una controllata, Yellow Card Ghana Limited, costituita nel 2020 e registrata presso il Financial Intelligence Centre e la Data Protection Commission ghanesi. Il consulente generale Craig Stoehr: «È davvero spiacevole che la Bank of Ghana abbia deciso di pubblicare questo avviso, dato che Yellow Card Ghana aveva comunicato chiaramente i fatti sopra esposti… con ampio anticipo». ⚠️ COSA REGISTRIAMO E COSA NON DECIDIAMO. Questa voce non dice che Yellow Card abbia operato senza licenza: su quel merito ci sono una banca centrale che afferma e un'azienda che nega, e il registro non fa da giudice. Quello che è un fatto accertato, con data, numero e firma, è l'ATTO: una banca centrale ha chiesto pubblicamente alle istituzioni finanziarie del paese e ai cittadini di non fare affari con il gruppo. È quello l'effetto che può arrivare sul conto di una persona — una banca ghanese che rifiuta un bonifico, un pagamento che non passa — e per questo è in scheda. PERCHÉ RESTA APERTA. Non abbiamo trovato alcun ritiro dell'avviso, alcuna licenza ghanese ottenuta dopo, alcuna rettifica della Banca: al 2 ottobre 2026 il provvedimento risulta ancora pubblicato sul sito della Bank of Ghana. Non è però un fatto «in corso» nel senso del monitor: non sta succedendo nulla adesso, è una misura ferma in vigore. Da tenere presente insieme a un altro elemento che cambia molto la portata pratica della cosa: da gennaio 2026 Yellow Card ha chiuso l'offerta retail per concentrarsi sul segmento enterprise, quindi la platea di persone che oggi può incrociare questo problema è molto più piccola di quella del 2025.

Ultime informazioni verificate

Il 20 maggio 2025 la British Columbia Securities Commission ha emesso un ordine provvisorio (2025 BCSECCOM 209) contro Xeltox Enterprises Ltd., che opera come Cryptomus, con sede a Vancouver. Nelle parole della commissione, esistono elementi per ritenere che Cryptomus «possa violare i requisiti di registrazione del Securities Act e operare come una borsa non riconosciuta». COSA VIETA L'ORDINE. «L'ordine provvisorio vieta a Cryptomus di negoziare titoli o derivati e di svolgere attività promozionali.» È una misura cautelare, non un accertamento definitivo: serve a fermare l'attività mentre si decide, e per costruzione non stabilisce che la violazione ci sia stata. QUELLO CHE NON SIAMO RIUSCITI A STABILIRE, E LO SCRIVIAMO. L'ordine scadeva il 4 giugno 2025, con la possibilità per il direttore esecutivo di chiedere a un collegio della commissione di prorogarlo. Dalle fonti aperte che abbiamo consultato non risulta se sia stato prorogato, se si sia tenuta un'udienza o se il procedimento sia stato chiuso. Registriamo quindi il fatto certo — un ordine di un'autorità, datato e pubblicato da quella stessa autorità — e dichiariamo aperta la domanda su come sia finito, invece di far finta di saperlo. IL CONTESTO CHE RENDE LA VOCE UTILE. Cinque mesi dopo questo ordine, la stessa società ha ricevuto da FINTRAC la sanzione registrata qui sotto. Due autorità canadesi diverse, nello stesso anno, sullo stesso operatore: la voce singola conta meno della sequenza.

Ultime informazioni verificate

Coinbase ha rifiutato il riscatto da 20 milioni di dollari e ha denunciato il fatto alla SEC con un Form 8-K. Non sono state compromesse password né chiavi private e nessuno ha potuto toccare i fondi. Dati sottratti: nome, indirizzo, telefono, email, ultime quattro cifre del codice fiscale, numeri di conto mascherati, immagini di documenti d'identità, saldi e storico transazioni. Il bilancio 2025 registra 345,2 milioni di perdite nette e 311,2 milioni di cassa effettivamente uscita, tra rimborsi volontari ai clienti e spese legali: il rimborso è quindi confermato da un documento depositato alla SEC, non da un comunicato. Altri 8,6 milioni nel primo trimestre 2026: il conto non è chiuso. Il numero di clienti coinvolti, circa 70.000, proviene dalla notifica al procuratore generale del Maine e non compare nell'8-K.

Ultime informazioni verificate

Il 12 maggio 2025 alle 20:55 UTC il dominio curve.fi è stato dirottato a livello di registrar: gli attaccanti hanno modificato la delega DNS e l'indirizzo ufficiale ha iniziato a puntare a un sito che imitava la homepage di Curve. Il team se n'è accorto alle 21:20 UTC. COSA C'ERA DALL'ALTRA PARTE. Secondo il resoconto di Curve il sito fasullo era «un'esca statica, che non funzionava come un vero frontend e si limitava a chiedere all'utente di firmare con il wallet». Nessuno smart contract, nessun fondo e nessun dato utente è stato toccato: il protocollo è rimasto «pienamente sicuro e operativo» e ha trattato oltre 400 milioni di dollari di volume durante il disservizio, perché chi opera via contratto o via interfacce alternative non passa dal dominio. Il perimetro, dice la società, era «strettamente limitato allo strato DNS». Nella risposta sono stati coinvolti fornitori di wallet come Phantom, che hanno bloccato l'accesso al sito compromesso. LA DECISIONE CHE NE È SEGUITA. Curve non ha aspettato di riavere il dominio: ha spostato il frontend ufficiale su curve.finance e ha raccomandato di raggiungere il protocollo tramite il dominio ENS curve.eth. La ragione dichiarata è il disservizio prolungato e il supporto limitato ricevuto dal registrar del .fi, iwantmyname — lo stesso registrar del dirottamento dell'agosto 2022. Sulla causa esatta la società dice di non aver rilevato segni di compromissione delle proprie credenziali e che l'accertamento è rimasto aperto. PERCHÉ È QUI. Non c'è stato furto dalle casse del protocollo, e per questo la voce non è classificata come hack. Ma per ore l'indirizzo che la gente conosce a memoria ha servito una trappola: per l'utente il servizio era irraggiungibile in sicurezza, ed è esattamente il tipo di fatto che questa scheda deve dichiarare.

Ultime informazioni verificate

Sanzione a Revolut Bank UAB, la più alta mai imposta dalla banca centrale lituana. Un'ispezione programmata ha rilevato carenze nel monitoraggio dei rapporti d'affari e delle transazioni, con mancata segnalazione di operazioni sospette. Non sono stati accertati casi effettivi di riciclaggio. Revolut ha concordato la sanzione con un accordo amministrativo e dichiarato di aver corretto le carenze procedurali.

Ultime informazioni verificate

Dopo il Wells notice del 2024 su broker-dealer e clearing agency non registrati, e dopo la causa contro la SEC avviata a ottobre 2024 e ritirata a dicembre, il 27 marzo 2025 la SEC ha comunicato la chiusura dell'indagine senza avviare alcuna azione di enforcement.

Ultime informazioni verificate

Il 26 marzo 2025 il vault HLP di Hyperliquid — il fondo condiviso in cui gli utenti depositano USDC e che fa da controparte automatica alle liquidazioni sulla piattaforma — si è trovato con una perdita non realizzata di circa 12 milioni di dollari su una posizione che non aveva scelto. COME È STATA COSTRUITA. Secondo le ricostruzioni di The Block, Cointelegraph e della società di analisi Arkham, un operatore ha usato tre conti: ha depositato circa 7 milioni di dollari in pochi minuti, ha aperto due posizioni lunghe (circa 2,15 e 1,9 milioni) e una posizione corta da circa 4,1 milioni sul token JELLY (JELLYJELLY), poi ha ritirato il margine dalla posizione corta. Quella posizione, rimasta senza copertura, è stata liquidata e — per il funzionamento della piattaforma — è stata trasferita al vault HLP. A quel punto il prezzo di JELLY è stato spinto verso l'alto su più mercati, fino a moltiplicarsi per circa trecento volte in venti minuti: ogni punto di rialzo era una perdita per il vault, che si trovava corto e non poteva chiudere perché non c'era nessuno dall'altra parte. COME SI È CHIUSA, E PERCHÉ È IL PUNTO CHE CONTA. Con la perdita intorno ai 12 milioni, l'insieme dei validatori della rete ha votato di rimuovere i contratti perpetui su JELLY «per evidenza di attività di mercato sospetta», liquidando tutte le posizioni a un prezzo fissato di 0,037555 dollari — cioè vicino al prezzo a cui l'attaccante era entrato in corto, non al prezzo di mercato del momento. Per il vault il conto è passato da una perdita di 12 milioni a un utile di circa 700.000 USDC sulle 24 ore. Hyperliquid ha annunciato che «tutti gli utenti, tranne gli indirizzi segnalati, saranno risarciti dalla Hyper Foundation», automaticamente e sulla base dei dati on-chain: chi era lungo su JELLY è stato rimborsato come se la posizione si fosse chiusa a 0,037555. L'attaccante, secondo le stesse ricostruzioni, aveva già prelevato circa 6,26 milioni dei 7,17 depositati prima che i suoi prelievi venissero bloccati. NESSUN UTENTE È RIMASTO SCOPERTO, E TUTTAVIA RESTA UN FATTO DA SAPERE. Non c'è stato un exploit del codice, non sono state rubate chiavi, non è stato violato il ponte: la piattaforma ha funzionato come scritto, e proprio per questo un operatore ha potuto scaricare una posizione tossica sul fondo dove stanno i soldi dei depositanti. Quello che ha evitato la perdita non è stato un meccanismo automatico, ma una decisione umana presa in pochi minuti da un insieme ristretto di validatori, che ha delistato un mercato e scelto il prezzo di chiusura. Il dibattito che ne è seguito sulla reale decentralizzazione della piattaforma nasce da qui, e la società lo ha riconosciuto intervenendo sulle regole: tetti più stretti sul vault dei liquidatori, nuova formula per il limite di interesse aperto e un voto on-chain per il delisting degli asset sotto certe soglie. NON ERA IL PRIMO EPISODIO DELLO STESSO TIPO, DUE SETTIMANE PRIMA. Il 12 marzo 2025 un operatore aveva depositato 15,23 milioni di USDC e aperto una posizione lunga su ETH da 160.234 ETH (circa 306,85 milioni di dollari), poi aveva ritirato parte del margine facendosi liquidare: il vault HLP aveva assorbito circa 4 milioni di dollari di perdita (circa l'1% dei 451 milioni depositati) e l'operatore era uscito con 1,86 milioni di utile. Hyperliquid aveva dichiarato che «non c'è stato nessun exploit né hack» e che il motore di liquidazione «semplicemente non poteva gestire una posizione di quella dimensione», riducendo poi la leva massima a 40x sul bitcoin e 25x su ethereum. Due episodi in quindici giorni, sempre sullo stesso punto debole: la liquidazione forzata trasferita al fondo comune. IMPORTO NON QUANTIFICATO, ED È UNA SCELTA. La perdita massima esposta è stata di circa 12 milioni di dollari, ma non è mai diventata definitiva: dopo il delisting e la chiusura d'autorità il vault ha chiuso le 24 ore in utile. Scrivere 12 milioni darebbe una perdita che non c'è stata, scrivere zero cancellerebbe il rischio che il fondo dei depositanti ha effettivamente corso. Nel campo resta quindi vuoto, e l'intervallo è raccontato qui.

Ultime informazioni verificate

Il 5 marzo 2025 un attaccante ha sottratto circa **5 milioni di dollari** — 2,4 milioni di USDC e 1.276 WETH — sfruttando un difetto nella funzione `_settleOrder` dei **contratti resolver Fusion v1**, la versione dismessa del sistema di esecuzione degli ordini di 1inch. Il bug è un **underflow di interi**: passando un valore negativo di `interactionLength` (-512) si otteneva una corruzione di memoria che permetteva di reindirizzare i fondi. Nessuna tecnica sofisticata, aritmetica di base — e, dato che vale la pena registrare, **nove team di audit non l'avevano visto**. Chi ha perso i soldi, perché è la distinzione che conta: non gli utenti di 1inch, ma i **resolver**, cioè i market maker che eseguono gli ordini sul protocollo e che avevano ancora in produzione l'implementazione Fusion v1 dentro i propri contratti. Il più colpito è stato TrustedVolumes. 1inch ha dichiarato pubblicamente: «Stiamo lavorando attivamente con i resolver colpiti per mettere in sicurezza i loro sistemi. Invitiamo tutti i resolver a verificare e aggiornare immediatamente i propri contratti». ⚠️ Va detto anche ciò che non torna nella comunicazione: la prima dichiarazione dell'azienda — «nessun fondo di utente finale era a rischio» — era tecnicamente vera ma **ometteva i 5 milioni già sottratti ai resolver**, e questo le è stato contestato. Dopo una trattativa l'attaccante ha **restituito circa 4,05 milioni di dollari**, trattenendone circa **450.000** come «commissione del 10%» autoassegnata. Il caso è chiuso: i contratti vulnerabili erano già deprecati, l'esposizione residua riguardava solo chi non li aveva aggiornati. Perché questa voce esiste: fino a oggi la scheda dichiarava «nessun incidente noto» con una data di verifica — un'affermazione **falsa**, visto che il fatto è del marzo 2025.

Ultime informazioni verificate

Il 24 febbraio 2025 Aux Cayes Fintech Co. Ltd, la società con sede alle Seychelles che opera OKX, si è dichiarata colpevole davanti alla Procura federale del Distretto Sud di New York di esercizio abusivo dell'attività di trasmissione di denaro, accettando sanzioni per oltre 504 milioni di dollari (420,3 milioni di confisca penale e circa 84,4 milioni di multa). Dagli atti e dalle ammissioni: dal 2017 OKX aveva una politica ufficiale che vietava ai residenti statunitensi di operare sulla piattaforma, ma andava attivamente a cercarli; fra il 2018 e almeno l'inizio del 2024 ha servito clienti statunitensi per oltre mille miliardi di dollari di transazioni, generando centinaia di milioni di dollari di commissioni. Fino a novembre 2022 un utente poteva aprire un conto, ricevere e trasferire fondi e operare senza completare alcuna verifica dell'identità; il blocco degli indirizzi IP statunitensi era aggirabile con una VPN, e fino all'inizio del 2024 si poteva operare tramite intermediari che non comunicavano a OKX l'identità del cliente finale. In almeno due episodi documentati (aprile 2023 e gennaio 2024) un dipendente ha suggerito a potenziali clienti statunitensi come fornire informazioni false per superare la verifica. La Procura quantifica in oltre 5 miliardi di dollari le transazioni sospette e i proventi di attività criminose passati dalla piattaforma. La società ha accettato di mantenere un consulente esterno per la conformità fino a febbraio 2027. Il provvedimento nomina esplicitamente anche i prodotti derivati, contratti futures compresi.

Ultime informazioni verificate

Il 24 febbraio 2025 Aux Cayes Fintech Co. Ltd, la società con sede alle Seychelles che opera OKX, si è dichiarata colpevole davanti alla Procura federale del Distretto Sud di New York di esercizio abusivo dell'attività di trasmissione di denaro, accettando sanzioni per oltre 504 milioni di dollari (420,3 milioni di confisca penale e circa 84,4 milioni di multa). Dagli atti e dalle ammissioni: dal 2017 OKX aveva una politica ufficiale che vietava ai residenti statunitensi di operare sulla piattaforma, ma andava attivamente a cercarli; fra il 2018 e almeno l'inizio del 2024 ha servito clienti statunitensi per oltre mille miliardi di dollari di transazioni, generando centinaia di milioni di dollari di commissioni. Fino a novembre 2022 un utente poteva aprire un conto, ricevere e trasferire fondi e operare senza completare alcuna verifica dell'identità; il blocco degli indirizzi IP statunitensi era aggirabile con una VPN, e fino all'inizio del 2024 si poteva operare tramite intermediari che non comunicavano a OKX l'identità del cliente finale. In almeno due episodi documentati (aprile 2023 e gennaio 2024) un dipendente ha suggerito a potenziali clienti statunitensi come fornire informazioni false per superare la verifica. La Procura quantifica in oltre 5 miliardi di dollari le transazioni sospette e i proventi di attività criminose passati dalla piattaforma. La società ha accettato di mantenere un consulente esterno per la conformità fino a febbraio 2027. Il provvedimento nomina esplicitamente anche i prodotti derivati, contratti futures compresi.

Ultime informazioni verificate

Gli attaccanti hanno manipolato l'interfaccia del multisig Safe{Wallet} durante un trasferimento di routine da cold a warm wallet, alterando la logica dello smart contract e sottraendo oltre 401.000 ETH e derivati. I prelievi non sono mai stati sospesi: entro dieci ore risultava evaso il 99,994% di oltre 350.000 richieste. In 72 ore il buco è stato colmato con bridge loan, depositi e acquisti OTC, e la società di sicurezza indipendente Hacken ha pubblicato un proof-of-reserves aggiornato con collateralizzazione sopra il 100%. Nessun cliente ha subito perdite. Le perizie preliminari di Sygnia e Verichains hanno attribuito la causa a codice malevolo sulla piattaforma Safe{Wallet}, senza vulnerabilità nell'infrastruttura Bybit. Fonte principale: la timeline ufficiale Bybit, cioè la parte interessata; i dati su prelievi e riserve sono attribuiti a terzi ma il report Hacken non è stato letto direttamente.

Ultime informazioni verificate

Il 21 febbraio 2025 **1,46 miliardi di dollari** sono usciti da un cold wallet multifirma di Bybit. L'indagine forense condotta da **Mandiant** insieme al team di Safe, con riscontri indipendenti di **Sygnia** e **BlockSec**, ha ricostruito un percorso che parte molto prima e **dentro Safe**, non dentro Bybit. Il **4 febbraio** la postazione macOS di uno sviluppatore di Safe{Wallet} viene compromessa, verosimilmente con malware veicolato da ingegneria sociale. Il **5 febbraio** gli attaccanti usano i **token di sessione AWS** di quello sviluppatore — sessioni già attive, il che ha permesso di **aggirare l'autenticazione a più fattori** dopo alcuni tentativi falliti di registrare un proprio dispositivo MFA — ed entrano nell'infrastruttura AWS di Safe{Wallet}, dove restano fino al **17 febbraio**. Il **19 febbraio** modificano le **risorse JavaScript ospitate sul bucket S3** che serve l'interfaccia web di Safe{Wallet}, iniettando codice che manipola le transazioni. L'innesco era chirurgico: il codice si attivava **solo** su transazioni provenienti dall'indirizzo Safe di uno specifico cold wallet di Bybit. Il risultato lo ha descritto l'amministratore delegato di Bybit, Ben Zhou: l'interfaccia di Safe mostrava ai firmatari una transazione legittima, mentre ai loro dispositivi Ledger veniva inviato un payload diverso. Diciannove giorni di preparazione; l'**FBI** ha attribuito formalmente l'attacco ad attori statali nordcoreani del cluster **TraderTraitor** (noto anche come Jade Sleet, Slow Pisces, UNC4899). Quello che Safe ha dichiarato, e che è importante riportare per intero: la revisione forense **non ha rilevato vulnerabilità né negli smart contract di Safe né nel codice sorgente del frontend e dei servizi**. La falla era nell'infrastruttura aziendale, non nel protocollo. Safe ha poi **ricostruito e riconfigurato da zero tutta l'infrastruttura e ruotato tutte le credenziali**, ripristinando il servizio su Ethereum mainnet in più fasi. I fondi non sono mai stati recuperati: a coprire la perdita è stata Bybit, che ha reintegrato le riserve. Il nesso con questa scheda, detto chiaro: **i soldi rubati erano di Bybit, ma la falla sfruttata stava in casa Safe** — ed è il motivo per cui l'episodio compare sia qui sia sulla scheda dell'exchange.

Ultime informazioni verificate

Il 5 febbraio 2025, in serata (fuso USA), l'account X ufficiale di Jupiter — il canale da cui il progetto parla al suo pubblico — è finito sotto il controllo di attaccanti, che da lì hanno promosso un finto token chiamato $MEOW (il nome della mascotte e del co-fondatore pseudonimo del progetto) e poi un secondo, $DCOIN. A dare l'allarme è stato lo stesso progetto, dall'account Jupiter Mobile: «l'account principale di Jupiter Exchange è stato compromesso, il team sta lavorando per ripristinare l'accesso», con l'invito a non cliccare alcun link. L'account è stato recuperato nel giro di poche ore, nella notte fra il 5 e il 6 febbraio. Cosa NON è successo, ed è la parte che conta per chi usa l'aggregatore: nessun contratto di Jupiter è stato toccato, nessun fondo di utenti o di tesoreria è stato sottratto — il team ha dichiarato che gli asset restavano al sicuro nei wallet multisig e che la compromissione era limitata al solo account X, senza altri canali coinvolti. Cosa invece è successo a chi ha creduto al post: chi ha comprato $MEOW nei minuti in cui sembrava annunciato dal progetto si è trovato col token privo di liquidità dopo il prelievo di chi lo aveva creato. ⚠️ Sulle perdite non esiste un numero verificato: le cronache parlano di «milioni persi in pochi minuti» e di una capitalizzazione del finto token salita oltre i 20-30 milioni di dollari prima del crollo, ma la capitalizzazione di un token non è una perdita e nessuna fonte — né Jupiter né terzi — ha mai pubblicato un conteggio delle vittime o degli importi. Per questo il campo importo resta vuoto: scrivere lì la capitalizzazione sarebbe un numero falso. Nessun rimborso è stato annunciato, e il token JUP ha perso circa il 12% nelle ore dell'episodio. L'incidente è classificato qui perché l'account compromesso era quello ufficiale del servizio: non è il phishing di terzi che prende di mira gli utenti di un marchio, è il marchio stesso che per alcune ore ha parlato con la voce di un attaccante.

Ultime informazioni verificate

La Financial Intelligence Unit indiana ha sanzionato Bybit Fintech Limited per aver ampliato i servizi in India senza la registrazione obbligatoria come Virtual Digital Asset Service Provider. Per la non conformità persistente i siti erano stati bloccati tramite il ministero competente. Dopo il pagamento Bybit ha ottenuto la registrazione presso la FIU indiana. L'importo non è convertito in dollari: la fonte ufficiale indica solo la cifra in rupie.

Ultime informazioni verificate

Lo ha annunciato Fiwind stessa, il 31 gennaio 2025 alle 17:00 CET, sul proprio account X e con lo stesso testo sul canale Telegram ufficiale: «questa mattina abbiamo subito un attacco a un servizio cloud, per il quale gli attaccanti hanno potuto accedere ai nostri domini fiwind.io e panel.fiwind.io, di cui hanno modificato i messaggi visibili e il design. Questo attacco ha riguardato solo il front end dei siti, tutti i fondi sono sotto controllo. Stiamo lavorando per riportare il servizio alla normalità». L'app è stata messa offline per attivazione dei protocolli di sicurezza. Il giorno dopo, 1 febbraio 2025, la testata argentina iProUP riportava l'amministratore delegato: «non hanno toccato i fondi e il servizio si sta ristabilendo». Cosa NON sappiamo, e lo scriviamo perché l'assenza di un dato è un dato: Fiwind non ha pubblicato un post-mortem, non ha nominato il fornitore cloud coinvolto, non ha detto come sia stato ottenuto l'accesso e non ha mai dichiarato nulla sui dati dei clienti — la smentita del vertice riguarda i fondi, non i dati. Non risulta nemmeno un comunicato di chiusura: l'unico riferimento al ripristino è quella dichiarazione del 1 febbraio, al presente progressivo. L'incidente è considerato chiuso perché il fatto era circoscritto nel tempo e i due domini operano da allora normalmente (verificati entrambi il 30 settembre 2026, risposta regolare). Nota di perimetro: Fiwind è un operatore argentino registrato (PSAV n. 75, ALYCI n. 2.231, PSP n. 34.539) e il wallet è custodial, quindi il controllo del front end da parte di terzi è un rischio che ricade sull'utente anche quando i saldi non vengono toccati.

Ultime informazioni verificate

Il **23 gennaio 2025 alle 11:30 UTC** Phemex rileva «attività inusuale» nei propri wallet caldi. Sono le parole dell'azienda, nel comunicato ufficiale con la cronologia (`phemex.com/announcements/phemex-hot-wallet-security-incident-update-and-timeline`). L'attaccante ha svuotato **sedici hot wallet su sedici blockchain diverse**, fra cui Ethereum, Solana, XRP e Bitcoin, con un metodo che le analisi descrivono come sistematico: **prima i token di maggior valore, e conversione immediata degli asset congelabili in asset che non si possono bloccare** — cioè massimizzare il bottino e minimizzare le possibilità di recupero. La causa indicata dall'analisi di **Halborn** è la **compromissione delle chiavi private**, verosimilmente conservate in modo centralizzato: è l'unica ipotesi che spiega perché tutti e sedici i wallet siano caduti allo stesso modo. ⚠️ **L'importo è il punto più delicato della voce, e va letto per quello che è.** Phemex **non ha mai pubblicato una propria cifra**, né allora né dopo. Le stime sono tutte di terzi e si sono alzate nei giorni: **~29 milioni** nelle prime ore, **69,1 milioni** secondo **PeckShield** (che il 24 gennaio dettaglia 17 M$ su Solana, 13 M$ in XRP, 5,3 M$ in Bitcoin), **73 milioni** nell'analisi Halborn, **almeno 85 milioni** nel conteggio di **Taylor Monahan** di MetaMask. In `importo_usd` è stato messo il dato di PeckShield, che è la misura di un soggetto forense identificato e la più citata; la forchetta completa resta scritta qui perché un numero solo, su un fatto in cui l'azienda tace, sarebbe una falsa precisione. **Cosa ha fatto Phemex, con le date del suo stesso comunicato:** sospensione di depositi e prelievi sulla quasi totalità delle catene il **23 gennaio alle 15:13 UTC**; riapertura graduale e con approvazione manuale dal **24 gennaio** (ETH, USDT e USDC su Ethereum), poi **25 gennaio** (Bitcoin, quindi SOL/USDC/USDT su Solana), poi **26 gennaio** (Arbitrum, Optimism, BSC, Polygon, Base); **tutti i prelievi ripristinati entro febbraio 2025**. L'amministratore delegato **Federico Variola** ha confermato pubblicamente l'episodio, definendolo «sofisticato», e ha dichiarato che **i cold wallet non sono stati toccati**. Phemex ha fatto anche una cosa che in casi simili è rara: ha **pubblicato una Proof of Reserves** subito dopo l'attacco, per mostrarsi solvente, e nel comunicato scrive di avere «riserve di asset sufficienti» e che «i fondi degli utenti sono sempre al sicuro». **Perché `risolto` resta `false` su un fatto di venti mesi fa.** Non perché il servizio sia bloccato — l'operatività è piena dal febbraio 2025 — ma perché le tre cose che chiuderebbero il caso non sono mai arrivate: **i fondi non sono stati recuperati**, Phemex si è **impegnata** a rimborsare gli utenti colpiti senza che risulti una conferma pubblica a rimborsi avvenuti (e una promessa di rimborso non è un rimborso), e **non esiste un bilancio finale né un post-mortem tecnico** dell'azienda. Sull'attribuzione, infine, nessuna conferma: le analisi puntano al gruppo nordcoreano **Lazarus** sulla base del modo di operare, ma è un'ipotesi degli analisti, non un'attribuzione ufficiale, e in scheda resta tale. `in_corso` è `false`: non sta succedendo nulla adesso.

Ultime informazioni verificate

La società si era dichiarata colpevole il 10 luglio 2024 e il 15 gennaio 2025 è stata condannata dalla Procura federale del Distretto Sud di New York: 100 milioni di dollari di multa e due anni di libertà vigilata, per non aver istituito e mantenuto un programma antiriciclaggio (AML) e di identificazione della clientela (KYC) adeguato. Dagli atti: BitMEX serviva clienti statunitensi e sapeva di doversi registrare presso la CFTC, ma per aprire un conto chiedeva soltanto un indirizzo email; i dirigenti sapevano che clienti residenti negli Stati Uniti continuavano ad accedere alla piattaforma almeno fino al 2018 e che le politiche che avrebbero dovuto impedirlo erano aggirabili. La Procura contesta anche di aver mentito a una banca sulla natura di una controllata per far transitare milioni di dollari nel sistema finanziario statunitense. I tre fondatori (Arthur Hayes, Benjamin Delo, Samuel Reed) e il dirigente Gregory Dwyer si erano già dichiarati colpevoli ed erano stati condannati nel 2022. La multa è stata pagata e il procedimento penale è chiuso.

Ultime informazioni verificate

L'autorità francese per la protezione dei dati ha sanzionato Ledger per violazioni del GDPR legate ai data breach del 2020: sicurezza insufficiente, conservazione dei dati oltre il necessario e scarsa trasparenza sul loro utilizzo. La delibera non è stata pubblicata dalla CNIL e l'importo è emerso tramite stampa: la data indicata è quella della notizia, non necessariamente quella della decisione. In parallelo circa 50 vittime hanno avviato un'azione civile a Parigi.

Ultime informazioni verificate

Il 18 settembre 2024 Ethena Labs ha comunicato che l'account presso il registrar del suo dominio era stato compromesso: «abbiamo preso provvedimenti per disattivare il sito fino a nuovo avviso. Il protocollo non è coinvolto e i fondi sono al sicuro». La società ha chiesto agli utenti di non interagire con alcun sito o applicazione che si presentasse come il frontend di Ethena. La notizia è stata riportata lo stesso giorno da The Block e crypto.news. Non è stata segnalata alcuna perdita di fondi e il registrar coinvolto non è stato nominato. È il tipo di attacco che colpisce l'indirizzo, non il codice: chi controlla il dominio può sostituire il sito vero con una copia che chiede di firmare transazioni malevole, anche se i contratti del protocollo restano intatti — lo stesso schema che nel luglio 2024 aveva colpito Compound e Celer attraverso i domini gestiti su Squarespace. Il sito è tornato operativo e risponde regolarmente.

Ultime informazioni verificate

Prima sanzione in assoluto della Financial Conduct Authority sotto le Electronic Money Regulations 2011. CB Payments Ltd ha violato ripetutamente una restrizione volontaria concordata con l'autorità, accettando 13.416 clienti classificati ad alto rischio, con circa 25 milioni di dollari di depositi vietati che hanno alimentato transazioni per circa 226 milioni.

Ultime informazioni verificate

Il 18 luglio 2024 WazirX ha subito il furto di circa 234,9 milioni di dollari in asset digitali (oltre 2.000 crore di rupie) da un portafoglio multifirma tenuto in un accordo di custodia con Liminal Custody: lo schema richiedeva tre firme WazirX su cinque più una di Liminal, ma durante un'operazione di firma il contratto che governava il portafoglio è stato sostituito, e da quel momento l'attaccante ha potuto disporre dei fondi senza più bisogno delle chiavi dell'exchange. L'attribuzione al Lazarus Group nordcoreano non è di parte: è stata confermata da una dichiarazione congiunta di Stati Uniti, Corea del Sud e Giappone del gennaio 2025. Sulle responsabilità della custodia le due società si accusano a vicenda e nessuna versione è accertata: WazirX ha indicato Liminal, Liminal ha respinto l'addebito appoggiandosi a una revisione da lei commissionata a Grant Thornton e rinviando a vulnerabilità lato WazirX, mentre l'unità IFSO della polizia di Delhi ha sostenuto che Liminal non avrebbe fornito log e dati tecnici relativi al giorno della violazione. I prelievi sono rimasti bloccati per circa quindici mesi. Il rimborso è passato per una procedura concorsuale a Singapore sulla Zettai Pte Ltd: lo schema di ristrutturazione è stato approvato dal 95,7% dei creditori per numero e dal 94,6% per valore, omologato dall'Alta Corte di Singapore il 13 ottobre 2025, e la piattaforma ha riaperto agli scambi il 24 ottobre 2025. Entro dieci giorni lavorativi dalla riapertura gli utenti ammessi hanno ricevuto una prima distribuzione pari a circa l'85% del credito riconosciuto. Il restante ~15% NON è stato rimborsato: è rappresentato da «Recovery Token» assegnati agli aventi diritto, che l'azienda stessa dichiara non negoziabili e riacquistabili solo in futuro «subordinatamente alla disponibilità di profitti e recuperi sufficienti», in cicli di valutazione trimestrali che scattano al raggiungimento di almeno 10 milioni di dollari di valore recuperato. Il caso resta quindi aperto: una promessa di riacquisto condizionata ai profitti futuri non è un rimborso.

Ultime informazioni verificate

Evolve Bank & Trust è una banca americana che non vende quasi nulla al pubblico: lavora dietro le fintech, emette conti e carte per loro conto. Questo incidente riguarda quindi anche persone che non hanno mai sentito il nome «Evolve» e che erano clienti di una app. La cronologia, come la racconta la banca stessa nel proprio avviso ufficiale: gli attaccanti «hanno avuto accesso e scaricato informazioni dei clienti dai nostri database e da una condivisione di file in periodi di febbraio e maggio» 2024. «Alla fine di maggio 2024 Evolve Bank & Trust ha rilevato che alcuni dei suoi sistemi non funzionavano correttamente»: sembrava un guasto hardware, era un'intrusione. La banca dichiara di non aver osservato «nessuna nuova attività non autorizzata dopo il 31 maggio 2024». L'ingresso, ammesso dalla banca, è il più banale che esista: «un dipendente ha inavvertitamente cliccato su un link internet malevolo». L'autore è dichiarato: «è stato un attacco ransomware da parte dell'organizzazione criminale LockBit». Il riscatto non è stato pagato e i dati sono stati pubblicati: a fine giugno 2024 LockBit ha diffuso il materiale rubato, in un primo momento presentandolo come una violazione della Federal Reserve statunitense — una rivendicazione falsa, smentita nei giorni successivi quando si è capito che i dati erano di Evolve. È la ragione per cui questo caso ha avuto molta più visibilità di quanta ne avrebbe avuta altrimenti. I numeri e il perimetro. Nella notifica formale dell'8 luglio 2024 e nelle comunicazioni alle autorità statali risultano 7.640.112 persone coinvolte. I dati esfiltrati, secondo l'avviso della banca, comprendono «nomi, numeri di previdenza sociale, numeri di conto bancario e dati di contatto» per la maggior parte dei clienti retail «così come per i clienti dei nostri partner Open Banking», più informazioni relative ai dipendenti e registrazioni di transazioni ACH; a una parte più piccola di persone è stato esposto anche il numero della carta di debito. Il numero di previdenza sociale è il dato che rende questo caso pesante e non invecchia: non è una password, non si può cambiare. Cosa NON è successo: la banca dichiara che «non c'è evidenza che i criminali abbiano avuto accesso ai fondi dei clienti». Il denaro sui conti non è stato toccato — quello che è uscito sono le identità. Rimedi offerti: notifica individuale agli interessati e due anni di monitoraggio del credito e protezione dal furto d'identità per i residenti negli Stati Uniti, con una linea telefonica dedicata. Perché resta rilevante oggi, a distanza di due anni: i dati sono stati pubblicati, quindi sono in circolazione in modo permanente, e il numero di previdenza sociale di una persona non si revoca. Per un lettore europeo il rischio diretto è basso — il perimetro è statunitense — ma il caso vale come lettura su una cosa che riguarda tutti: quando usi una app finanziaria, i tuoi documenti stanno anche presso la banca dietro l'app, che tu non hai scelto e di cui probabilmente non conosci il nome.

Ultime informazioni verificate

Il 14 giugno 2024 il Consiglio dei governatori della Federal Reserve, insieme al dipartimento bancario dello Stato dell'Arkansas, ha emesso un ordine di cessazione (cease and desist) nei confronti di Evolve Bancorp, Inc. e della sua controllata Evolve Bank & Trust. Non è una multa: è un ordine che impone di correggere e di dimostrare di aver corretto. Il contenuto è il punto. Secondo la Federal Reserve, esami condotti nel 2023 e un controllo di verifica all'inizio del 2024 hanno accertato che la banca «si è impegnata in pratiche bancarie non sicure e non solide, non avendo predisposto un quadro efficace di gestione del rischio» per le proprie partnership con società fintech, e che «non ha mantenuto un programma efficace di gestione del rischio o controlli sufficienti per rispettare le leggi antiriciclaggio» e quelle a tutela dei consumatori. L'ordine impone di rafforzare le politiche interne, la vigilanza e il monitoraggio di quei rapporti e le procedure di tenuta delle registrazioni e di conformità in materia di consumatori. Va letto nel contesto in cui è arrivato, senza confonderlo con quel contesto: nella primavera 2024 il fallimento dell'intermediario tecnologico Synapse — di cui Evolve era una delle banche partner — aveva lasciato per settimane clienti finali di diverse app senza accesso al proprio denaro, per una discordanza dei registri fra le parti. La Federal Reserve precisa che il proprio provvedimento è indipendente dalla procedura concorsuale di Synapse: quell'ordine riguarda il modo in cui la banca governava le proprie partnership, non è l'accertamento di una responsabilità per i soldi bloccati in quella vicenda. Perché riguarda chi legge questo registro: Evolve non è un marchio che si scegli, è l'infrastruttura sotto marchi che si scelgono. Un provvedimento che dice che la banca non controllava adeguatamente i propri partner fintech è, tradotto, un provvedimento sul livello di sorveglianza applicato ai conti e alle carte che quei partner vendevano al pubblico. Stato: non risulta che l'ordine sia stato revocato o terminato. Gli obblighi di conformità sono per loro natura pluriennali e la loro chiusura viene annunciata dall'autorità: fino a quel momento questa voce resta aperta. Non è un incidente «in corso» — non sta succedendo nulla in questo momento — ma non è nemmeno chiuso.

Ultime informazioni verificate

Fra il 3 e il 7 giugno 2024 un soggetto non autorizzato è entrato nello strumento di collaborazione interna del fornitore che gestisce per Gemini i bonifici ACH — il circuito di addebito e accredito bancario statunitense — e ha avuto accesso ai dati di circa 15.000 clienti Gemini. Le informazioni esposte sono nome completo, numero di conto bancario e routing number usati per i trasferimenti ACH: non un elenco di contatti, ma le coordinate con cui si dispone un addebito su un conto. Secondo la ricostruzione pubblicata NON sono stati esposti data di nascita, indirizzo di residenza, indirizzo email, numero di previdenza sociale, numero di telefono, nome utente né password. Gemini ha avvisato i clienti coinvolti via email il 25 giugno 2024 e ha inviato le lettere formali di notifica della violazione il 24 luglio 2024. La dichiarazione ufficiale dell'azienda è breve e va riportata per quello che dice: «l'incidente presso una terza parte ha riguardato informazioni di circa 15.000 clienti Gemini. Sebbene abbiamo avvisato i clienti coinvolti per eccesso di prudenza, la nostra analisi non ha trovato prove di un impatto sui clienti». Come nel caso del 2022, i sistemi di Gemini non sono stati violati: il punto di ingresso era un fornitore. ⚠️ Il fornitore ACH non è stato nominato, non è stato pubblicato alcun post-mortem tecnico e non risulta una comunicazione di chiusura successiva alle lettere del 24 luglio. La distinzione fra «nessuna prova di impatto» e «nessun impatto» è dell'azienda, non nostra: un numero di conto e un routing number, una volta usciti, restano utilizzabili a tempo indeterminato.

Ultime informazioni verificate

Il 7 maggio 2024 il Consumer Financial Protection Bureau, l'autorità federale statunitense per la tutela dei consumatori finanziari, ha emesso un provvedimento nei confronti di Chime Financial, Inc. L'addebito non riguarda un attacco informatico né una perdita di fondi, ma i tempi con cui l'azienda restituiva il denaro ai clienti che chiudevano il conto: secondo l'autorità, Chime «non ha rimborsato i saldi dei consumatori entro 14 giorni in migliaia di casi, compresi migliaia di casi in cui non ha emesso il rimborso entro 90 giorni». Il CFPB ha qualificato la condotta come scorretta ai sensi del Consumer Financial Protection Act, osservando che il ritardo impediva a persone di accedere a denaro proprio di cui avevano bisogno per spese essenziali. Il provvedimento impone a Chime di sanare la condotta, di pagare una sanzione pecuniaria civile di 3,25 milioni di dollari e almeno 1,3 milioni di dollari di indennizzo ai consumatori, e fissa obblighi di compliance, reportistica verso l'autorità e conservazione documentale rafforzata per un periodo di cinque anni — quindi fino al 2029. La cifra indicata qui come importo è la sanzione, non una perdita subita dagli utenti. Una precisazione necessaria per non confondere due società diverse: nel novembre 2023 il CFPB ha chiuso un altro procedimento, da 3 milioni di dollari, nei confronti di «Chime Inc.», operatore di un'app di rimesse — è un soggetto distinto da Chime Financial, la società della carta, e non c'entra con questo provvedimento. Chime opera come società fintech: i conti sono emessi da banche partner assicurate FDIC, non da Chime.

Ultime informazioni verificate

IL FATTO. Il 29 aprile 2024 sono usciti circa 14,8 milioni di dollari dai wallet di Rain, l'exchange di Rain Management W.L.L. con sede in Bahrein. Chi ha condotto l'attacco ha convertito il bottino quasi subito: i fondi sono stati «rapidamente trasferiti a exchange istantanei e scambiati in BTC ed ETH», per un totale di 137,9 BTC e 1.881 ETH finiti in due portafogli che sono poi rimasti inattivi. Sulla causa tecnica l'analisi di Halborn è prudente ma netta nel suo perimetro: l'attaccante «deve aver avuto la capacità di generare firme digitali valide per le transazioni dell'attacco», quindi si tratta verosimilmente di CHIAVI PRIVATE COMPROMESSE — un cedimento nella gestione delle chiavi, non una falla di uno smart contract. LA PARTE CHE PESA PIÙ DEL FURTO: CHI L'HA RACCONTATO. Per due settimane Rain non ha detto nulla. La notizia è uscita il 13 maggio 2024, quando l'investigatore on-chain ZachXBT ha segnalato sul suo canale i flussi anomali in uscita dai wallet BitGo dell'exchange. Solo dopo quella segnalazione Rain ha pubblicato una dichiarazione sul proprio sito. Il 13 maggio CoinDesk scriveva che «Rain non ha risposto immediatamente alla richiesta di commento». Per un operatore che fa della licenza il proprio argomento di vendita, il punto non è secondario: il mercato ha saputo di una perdita da 14,8 milioni da un ricercatore indipendente, due settimane dopo i fatti. COSA HA DETTO RAIN, E CON QUALI PAROLE. Nella dichiarazione del 13 maggio l'exchange ha riconosciuto l'incidente, ha detto di aver adottato «misure immediate» per rafforzare la sicurezza della piattaforma e di collaborare con le autorità legali e regolamentari competenti. Sui soldi dei clienti la formulazione è quella riportata da più testate: i fondi sono «sotto custodia, interamente contabilizzati e detenuti su base 1:1», e il gruppo Rain ha «coperto ogni potenziale perdita derivante dall'incidente, garantendo che gli interessi dei nostri clienti restino protetti». In altre parole la perdita l'ha assorbita la società con proprie risorse, nessun taglio ai saldi: lo stesso schema di Bitstamp nel 2015, l'opposto di Bitfinex nel 2016. ⚠️ SULL'IMPORTO, LA FORCHETTA VA DETTA. In questa scheda c'è 14,8 milioni di dollari, che è la misura di ZachXBT ripresa da CoinDesk e da Halborn ed è la più circostanziata (ha un dettaglio per asset: 137,9 BTC e 1.881 ETH). Altre fonti riportano «circa 15 milioni» e alcune ricostruzioni successive parlano di 16 o 16,13 milioni di dollari. Rain NON ha mai pubblicato una cifra propria, quindi nessun numero qui è dell'azienda: sono tutte stime di terzi su un bottino convertito in due asset mentre il prezzo si muoveva. ⚠️ SULL'ATTRIBUZIONE, QUELLO CHE NON AFFERMIAMO. Circola, e la riportano una scheda enciclopedica e un articolo di Forbes del 4 dicembre 2024, l'attribuzione del furto al gruppo nordcoreano Lazarus, con un ingresso ottenuto contattando un dipendente su LinkedIn con una finta offerta di lavoro e un finto esercizio di programmazione che installava il malware TraderTraitor; il collegamento sarebbe documentato in un mandato di sequestro del Dipartimento di Giustizia statunitense e in un'analisi di Mandiant. Non lo scriviamo come fatto: l'articolo di Forbes risponde 403 al nostro accesso e non siamo riusciti ad aprire né il mandato né l'analisi. Se una fonte non si apre, il dato non esiste — resta annotato come attribuzione da verificare, non come causa accertata. PERCHÉ QUESTA VOCE È SEGNATA COME CHIUSA. Non perché i soldi siano tornati: i 137,9 BTC e i 1.881 ETH non sono mai stati recuperati e i portafogli di destinazione risultavano inattivi già nei giorni successivi. È chiusa per il lato che riguarda chi aveva un conto: la copertura della perdita è dichiarata al passato dall'azienda, l'operatività non si è mai interrotta e in oltre due anni non è emersa una sola segnalazione pubblica di clienti rimasti scoperti per questo incidente. Resta una dichiarazione della società, non una verifica indipendente, e in questa scheda è scritta per quello che è.

Ultime informazioni verificate

Dopo l'ispezione dal 19/09/2022 al 22/12/2022 la Banca d'Italia ha rilevato carenze nella profilatura della clientela, nell'adeguata verifica e nella collaborazione attiva (segnalazione delle operazioni sospette), ai sensi del d.lgs. 231/2007. Con provvedimento del 23/01/2024 ha inflitto alla banca una sanzione pecuniaria di 35.000 €, tenendo conto dell'azione correttiva già avviata. Secondo il Bilancio 2023, il CdA ha deciso di non impugnare il provvedimento. Le irregolarità riguardano i controlli interni, non i fondi dei clienti.

Ultime informazioni verificate

A sei mesi dal furto da 37,3 milioni, CoinsPaid è stata colpita di nuovo. La segnalazione non è arrivata dall'azienda ma da fuori: la società di sicurezza Cyvers ha rilevato transazioni anomale e il suo amministratore delegato Deddy Lavid ha indicato l'ora esatta — «il 5 gennaio 2024 alle 18:13:23 UTC» — e il totale: 7,5 milioni di dollari su BNB Chain ed Ethereum. La composizione riferita è 6,1 milioni in USDT, ETH e USDC, oltre un milione in BNB e circa 368.000 dollari nel token CPD della stessa CoinsPaid, convertito in ETH. I fondi sono finiti su conti esterni e su altri exchange, fra cui MEXC, WhiteBIT e ChangeNOW; WhiteBIT ha dichiarato di aver congelato quanto arrivato da lì. NOTA SULLA DATA. Diverse testate datano l'episodio al 6 gennaio 2024, che è il giorno in cui il rilevamento è diventato pubblico; qui la data è quella dell'orario UTC indicato da chi l'ha misurato, il 5 gennaio. È la stessa scelta che facciamo sempre: si data il fatto, non la notizia. IL SILENZIO È IL DATO. A differenza del luglio 2023, quando CoinsPaid pubblicò un post-mortem dettagliato, su questo secondo episodio la società non ha rilasciato alcun commento pubblico: lo scrivevano le testate nei giorni immediatamente successivi e non risulta un comunicato successivo. Non sappiamo quindi né se i fondi colpiti fossero della società o dei clienti, né quale fosse il vettore, né se qualcosa sia stato recuperato. Quando la vittima non parla, l'unica cosa onesta da scrivere è che non parla.

Ultime informazioni verificate

L'account NPM di un ex dipendente è stato compromesso via phishing nonostante la 2FA: l'attaccante ha pubblicato tre versioni di Ledger Connect Kit contenenti un drainer, colpendo per circa cinque ore le dApp che caricavano la libreria. Causa dichiarata da Ledger: gli accessi a strumenti esterni non venivano revocati automaticamente all'uscita del dipendente. Ledger si è impegnata a rimborsare tutte le vittime, inclusi i non clienti. L'importo di 484.000 dollari è la stima di CoinDesk: il report tecnico ufficiale non indica una cifra totale.

Ultime informazioni verificate

Il 5 dicembre 2023 la Monetary Authority of Singapore (MAS) ha inserito imToken PTE Ltd nella Investor Alert List, l'elenco degli operatori che offrono servizi senza licenza dal regolatore. È un avviso agli investitori, non una condanna né una sanzione pecuniaria. imToken ha dichiarato di essere in dialogo con la MAS per chiarire il proprio modello di wallet decentralizzato e chiederne la rimozione; alla data di verifica non risulta rimossa dalla lista.

Ultime informazioni verificate

Il 22 novembre 2023 vengono svuotati nello stesso giorno gli hot wallet dell'exchange HTX (l'ex Huobi) e il ponte cross-chain di HECO, la catena costruita da HTX per spostare asset a costo ridotto fra blockchain diverse. Justin Sun, fondatore e advisor della piattaforma, conferma l'attacco lo stesso giorno sul proprio account X: «HTX and Heco Cross-Chain Bridge Undergo Hacker Attack. HTX Will Fully Compensate for HTX's hot wallet Losses» — HTX e il ponte cross-chain Heco sono stati attaccati, HTX coprirà integralmente le perdite dei propri hot wallet. Depositi e prelievi vengono sospesi in via precauzionale su entrambe le piattaforme. LA CIFRA: PERCHÉ NON NE SCRIVIAMO UNA SOLA. Le fonti non convergono, e mettere un numero unico in scheda darebbe un'aria di precisione che i fatti non hanno. Sugli hot wallet dell'exchange: un portavoce di HTX parla di circa 30 milioni di dollari (South China Morning Post), mentre due giorni dopo la società rivede il proprio conto a 13,6 milioni; altre ricostruzioni parlano di 12,5 milioni. Sul ponte HECO: 86,6 milioni secondo Cointelegraph, 83,4 milioni secondo altre letture on-chain, «oltre 85 milioni» secondo SCMP. I totali pubblicati vanno quindi da 97 milioni (CoinDesk) a 115 milioni (CNBC, che scrive esplicitamente «finora»). Quello che le fonti concordano nel dire è l'ordine di grandezza — circa cento milioni di dollari — e la ripartizione: la parte grossa è il ponte, non l'exchange. LA CAUSA. La società di sicurezza Cyver, citata da CoinDesk, indica una sospetta fuga di chiavi private come vettore dell'attacco al ponte HECO; per gli hot wallet dell'exchange diverse analisi indipendenti hanno ipotizzato un attacco di phishing. HTX non ha mai pubblicato un post-mortem tecnico che confermi né l'una né l'altra ipotesi. Va registrato anche il contesto, perché è parte del fatto: secondo CNBC e SCMP si trattava del quarto attacco in due mesi ai danni di HTX e di entità collegate a Justin Sun. COSA È SUCCESSO DOPO. I servizi sono stati riaperti il 24 novembre 2023, poco più di 24 ore dopo l'annuncio, con la dichiarazione che «i fondi perduti in questo incidente costituiscono solo una frazione minima del capitale complessivo della piattaforma» e l'impegno alla «sicurezza al 100% dei fondi degli utenti». Il mercato ha risposto comunque: nelle settimane successive la piattaforma ha registrato circa 258 milioni di dollari di deflussi netti (PYMNTS, Business Standard, dicembre 2023) — cioè più del doppio di quanto era stato rubato. IL PONTE NON È MAI TORNATO, E QUESTA È LA PARTE CHE PESA DI PIÙ SUGLI UTENTI HECO. La catena HECO non è stata ripristinata: è stata chiusa. Gli utenti con asset HRC20 sono stati invitati a depositarli su HTX entro il 10 gennaio 2025; i depositi sono stati convertiti in punti, poi riscattati nel token HTX distribuito in 12 tranche a partire dal 15 gennaio 2025. È una liquidazione ordinata, non una restituzione: chi teneva asset su HECO ha ricevuto un altro asset, a condizioni fissate dalla società, e chi ha mancato la finestra non ha ricevuto nulla. PERCHÉ LO MARCHIAMO COME CHIUSO, E COSA RESTA NON VERIFICATO. Il fatto è chiuso: l'operatività è stata ripristinata in due giorni, sono passati quasi tre anni, la catena coinvolta è stata formalmente liquidata. Ma «rimborso integrale» resta una dichiarazione della società: non esiste alcuna rendicontazione pubblica, né di terzi, che documenti quanti utenti siano stati risarciti e per quale importo, e la promessa di Sun riguardava esplicitamente i soli hot wallet di HTX, non il ponte.

Ultime informazioni verificate

Sanzione FinCEN da 3,4 miliardi con monitoraggio quinquennale e accordo OFAC da 968.618.825 dollari per 1.667.153 apparenti violazioni di programmi sanzionatori, oltre alle risoluzioni parallele con DOJ e CFTC. Il fondatore Changpeng Zhao si è dichiarato colpevole, ha lasciato la carica di CEO e ha pagato 50 milioni.

Ultime informazioni verificate

Fra il 17 e il 18 novembre 2023 l'open interest sul mercato perpetual di YFI su dYdX v3 è salito da circa 0,8 a circa 67 milioni di dollari, con il prezzo sulla piattaforma nettamente sopra quello degli altri mercati perpetual; quando la posizione è stata liquidata, il fondo assicurativo ha assorbito circa 9 milioni di dollari, all'incirca il 40% del suo valore. Il fondatore e amministratore delegato Antonio Juliano lo ha definito pubblicamente «un attacco chiaramente mirato contro dYdX» basato sulla manipolazione dell'intero mercato di YFI, annunciando una revisione dei parametri di rischio della v3 e un'indagine con più partner. Nessun fondo degli utenti è stato compromesso: il fondo assicurativo esiste esattamente per coprire le perdite da liquidazione e ha fatto il suo lavoro, restando capitalizzato per circa 13,5 milioni di dollari dopo l'evento. YFI ha perso circa il 40% nelle ore successive. Il fatto riguarda dYdX v3, la versione precedente su Ethereum/StarkEx, non la chain Cosmos indipendente su cui gira dYdX oggi.

Ultime informazioni verificate

Sanzione a Foris DAX MT Limited per aver offerto servizi crypto nei Paesi Bassi per circa due anni senza registrazione, ottenuta poi a luglio 2023. Importo base di 2 milioni, aumentato per il numero rilevante di clienti olandesi e per il mancato pagamento delle commissioni di vigilanza. Crypto.com ha dichiarato di aver presentato appello.

Ultime informazioni verificate

Nella notte fra domenica 24 e lunedì 25 settembre 2023 vengono sottratti circa 5.000 ether, all'epoca poco meno di 8 milioni di dollari, da un hot wallet di HTX. Justin Sun conferma pubblicamente l'episodio e dichiara che la società ha già coperto la perdita, aggiungendo che rappresenta una frazione minima delle riserve della piattaforma. LA TRATTATIVA PUBBLICA. Invece di rivolgersi subito alle autorità, HTX offre all'attaccante una taglia del 5% sui fondi (circa 400.000 dollari) e, pubblicamente, un ruolo di consulente per la sicurezza, dandogli una settimana di tempo prima di coinvolgere le forze dell'ordine. Il 7 ottobre 2023 l'attaccante restituisce l'intera somma in due transazioni, di circa 4.000 e 1.000 ether. Sun conferma: «Abbiamo verificato che l'hacker ha restituito integralmente tutti i fondi, come promesso, e gli abbiamo anche pagato un bonus whitehat di 250 ETH». PERCHÉ RESTA IN SCHEDA ANCHE SE I SOLDI SONO TORNATI. L'esito è il migliore possibile — nessun utente ha perso nulla e la vicenda si è chiusa in tredici giorni — ed è la ragione per cui la gravità qui è «moderato» e non «critico». Ma il fatto resta rilevante per due motivi. Primo: la perdita è stata possibile perché una chiave di un hot wallet è risultata utilizzabile da un estraneo, e due mesi dopo lo stesso tipo di esposizione è tornato a costare molto di più (incidente del 22 novembre 2023). Secondo: la restituzione è dipesa dalla scelta volontaria dell'attaccante dopo una trattativa, non da un controllo tecnico o da una copertura assicurativa — non è un meccanismo su cui un utente possa contare.

Ultime informazioni verificate

Il 30 luglio 2023, fra le 13:10 e le 22:00 UTC, quattro pool di Curve sono state svuotate in sequenza. La falla non era nel codice di Curve: era nel compilatore. Le versioni 0.2.15, 0.2.16 e 0.3.0 del linguaggio Vyper generavano una protezione contro la rientranza che non funzionava — il lucchetto c'era nel codice sorgente e non c'era nel contratto compilato. Chi aveva scritto quelle pool aveva fatto la cosa giusta e si ritrovava comunque scoperto. Il bug era stato corretto nella versione 0.3.1, ma i contratti già in produzione restavano quelli. LE POOL E LE CIFRE, UNA PER UNA (analisi LlamaRisk): pETH/ETH, 6.106,65 WETH (~11 milioni di dollari); msETH/ETH, 866,55 WETH (~1,6 milioni) e 959,71 msETH (~1,8 milioni); alETH/ETH, 7.258,70 WETH (~13,6 milioni) e 4.821,55 alETH (~9 milioni); CRV/ETH, 7.193.401,77 CRV (~5,1 milioni al momento dell'attacco), 7.680,49 WETH (~14,2 milioni) e 2.879,65 ETH (~5,4 milioni). Totale intorno ai 74,5 milioni di dollari. Le stime circolate sulla stampa oscillano fra 52 e 74 milioni a seconda di cosa viene contato e a quali prezzi: la cifra qui è quella del riepilogo tecnico, con il dettaglio per pool in modo che sia verificabile. COSA È TORNATO INDIETRO DA SOLO. Parte dei fondi è stata estratta prima degli attaccanti da operatori whitehat: 2.879,65 ETH (~5,4 milioni) sottratti alla pool CRV/ETH da c0ffeebabe.eth sono stati restituiti al team Curve. Altri fondi sono stati riconsegnati dall'attaccante stesso ad Alchemix e a JPEG'd dopo che i progetti hanno offerto la ricompensa del 10% prevista dal programma bug bounty. Le altre pool non hanno avuto la stessa sorte. IL RIMBORSO, E IL DETTAGLIO CHE CAMBIA IL SENSO DELLA PAROLA. Il 21 dicembre 2023 la governance ha approvato con il 94% dei voti la distribuzione di circa 49,2 milioni di dollari ai fornitori di liquidità colpiti nelle pool Curve, JPEG'd, Alchemix e Metronome. Di questi, circa 7,2 milioni erano ETH effettivamente recuperati; i restanti circa 42 milioni sono stati pagati in token CRV soggetti a vesting, attinti dal fondo della comunità (in totale 55.544.782,73 CRV deliberati). Detto altrimenti: chi aveva messo ETH nelle pool si è visto restituire in buona parte il token di governance del protocollo, rilasciato nel tempo e con un prezzo che può muoversi in qualunque direzione. È un rimborso reale e votato, non una promessa — ma non è la stessa cosa di riavere indietro ciò che si era depositato, e questa scheda non lo scrive come se lo fosse. PERCHÉ CONTA ANCORA OGGI. Il fatto è chiuso, ma la lezione no: il rischio non stava nel contratto né negli audit di quel contratto — gli audit c'erano — bensì in uno strato sotto, il compilatore, che nessuna delle verifiche in uso guardava.

Ultime informazioni verificate

Il 22 luglio 2023 CoinsPaid — il gateway di pagamenti in criptovaluta della estone Dream Finance OÜ — ha perso 37,3 milioni di dollari. La ricostruzione la fa la società stessa, in un post-mortem pubblicato il 7 agosto 2023 sul proprio sito, e il punto d'ingresso è quello che conviene ricordare: un dipendente ha risposto a un'offerta di lavoro falsa, presentata come proveniente da Crypto.com, e per svolgere la «prova tecnica» richiesta ha installato un programma che conteneva codice malevolo. Da lì sono stati rubati profili e chiavi di accesso all'infrastruttura interna. QUELLO CHE LA SOCIETÀ DICHIARA. I fondi dei clienti «non sono stati toccati e sono pienamente disponibili»: l'attacco ha colpito i wallet operativi dell'azienda, non i saldi dei merchant. Gli attaccanti, scrive CoinsPaid, non sono riusciti a violare gli hot wallet né ad accedere direttamente alle chiavi private; il sistema d'allarme interno ha dato l'avviso e ha permesso di interrompere l'attività e chiudere l'accesso. La società racconta anche il contesto: attacchi continui e non riusciti registrati da marzo 2023, fra ingegneria sociale, DDoS e forza bruta, prima di quello riuscito. Il 7 luglio 2023, fra le 20:48 e le 21:42, c'era stato un attacco massivo preparatorio. L'ATTRIBUZIONE, E CHI LA FA. È la vittima a nominare Lazarus, il gruppo legato alla Corea del Nord, scrivendo di aver lasciato agli attaccanti «una ricompensa da record al minimo». Resta l'attribuzione di parte: nessuna autorità l'ha certificata pubblicamente. Bloomberg ha riferito il 28 luglio 2023 che la società si è rivolta alle autorità estoni, e l'episodio è stato coperto da BleepingComputer, Cointelegraph e CoinDesk. COSA NON SI PUÒ DIRE. In quelle stesse settimane un altro processore, AlphaPo, ha subito un furto molto più grande, e diverse ricostruzioni sommano i due arrivando a cifre intorno ai 100 milioni: sono società diverse e qui non le confondiamo. E non risulta che i 37,3 milioni siano stati recuperati: la cifra di «oltre 70 milioni recuperati» che circola riguarda l'insieme delle decine di casi seguiti dalla società di analisi Match Systems, non questo incidente.

Ultime informazioni verificate

Una differenza fra i sistemi di pagamento europei e statunitensi faceva sì che, su alcune transazioni rifiutate, Revolut rimborsasse erroneamente i conti con denaro proprio. Gruppi criminali organizzati hanno sfruttato la falla per diversi mesi nel 2022. La perdita ha colpito il denaro dell'azienda, non i conti dei clienti, ed è emersa solo dopo la segnalazione di una banca partner statunitense. La falla è stata poi chiusa. La data indicata è quella della rivelazione giornalistica, non dell'evento.

Ultime informazioni verificate

Annunciata a dicembre 2022 la dismissione progressiva di tutti i prodotti negli Stati Uniti. L'accordo con i regolatori statali ha imposto a Nexo di notificare ai clienti statunitensi residui di prelevare i propri asset entro il 1° aprile 2023; i prelievi sono rimasti aperti. Nexo è rientrata formalmente sul mercato statunitense il 16 febbraio 2026.

Ultime informazioni verificate

L'11 marzo 2023 Circle ha comunicato che 3,3 miliardi di dollari delle riserve a garanzia di USDC — circa l'8% di un totale di circa 40 miliardi — si trovavano nella Silicon Valley Bank, la banca californiana posta in amministrazione dalle autorità il giorno prima. L'annuncio è arrivato a mercati bancari chiusi, il venerdì sera: i market maker che normalmente tengono USDC a un dollaro non potevano coprirsi fino all'apertura, e sul mercato secondario la stablecoin è scesa fino a circa 0,87-0,88 dollari, la rottura di parità più grave mai registrata da USDC. Il 12 marzo il Tesoro statunitense e le autorità di vigilanza hanno annunciato che tutti i depositanti di Silicon Valley Bank e Signature Bank sarebbero stati resi integri; Circle ha pubblicato lo stesso giorno una nota dal titolo esplicito — «rimosso il rischio sui 3,3 miliardi di riserve USDC, chiusa la rottura di parità» — dichiarando che quei fondi sarebbero stati «pienamente disponibili all'apertura delle banche statunitensi domani mattina» e che USDC «resta riscattabile 1:1 col dollaro». La parità è stata ripristinata nelle ore successive. Chi ha atteso il riscatto non ha perso nulla; chi ha venduto durante il fine settimana ha realizzato la differenza di prezzo, ma non per un buco nelle riserve: il collaterale c'era, era temporaneamente irraggiungibile. Nella stessa comunicazione Circle ha reso pubblica la composizione della riserva: 77% (32,4 miliardi) in titoli del Tesoro statunitense a breve in custodia presso BNY Mellon con gestione della liquidità affidata a BlackRock, 23% (9,7 miliardi) in liquidità tenuta principalmente presso BNY Mellon. L'episodio è chiuso: le riserve sono state recuperate integralmente, non ci sono state perdite per i detentori che hanno riscattato, e da allora la concentrazione bancaria delle riserve è stata ristrutturata.

Ultime informazioni verificate

Il documento è pubblico e l'abbiamo letto per intero: è il consent order FDIC-22-0040b, emesso dalla Federal Deposit Insurance Corporation nei confronti di Cross River Bank, Teaneck, New Jersey. La banca ha sottoscritto la stipulation l'8 marzo 2023; l'FDIC l'ha reso pubblico il 28 aprile 2023 insieme agli altri provvedimenti del mese. CHE COSA HA ACCERTATO L'AUTORITÀ. L'FDIC «ha considerato la questione e determinato» che la banca ha posto in essere pratiche bancarie non sicure o non solide in relazione al rispetto delle leggi e dei regolamenti sul credito equo, «non riuscendo a istituire e mantenere controlli interni, sistemi informativi e pratiche prudenti di erogazione del credito» conformi agli standard di sicurezza e solidità dell'Appendice A del 12 C.F.R. Parte 364, o violando l'Equal Credit Opportunity Act (Regulation B) e il Truth-in-Lending Act (Regulation Z). L'accertamento nasce dal rapporto di esame di conformità ai fini della tutela del consumatore del 3 maggio 2021. UNA PRECISAZIONE CHE VA FATTA. Nel testo la banca «non ammette né nega» gli addebiti: è la formula standard dei consent order americani. Il provvedimento non contesta a Cross River una specifica pratica discriminatoria e non le impone di restituire denaro ai clienti. Quello che c'è è un difetto di controllo: la banca prestava attraverso partner fintech che decidevano il merito creditizio con algoritmi automatici, e secondo l'autorità non aveva l'impianto di sorveglianza adeguato a quel modello. PERCHÉ CONTA SE STAI SCEGLIENDO UNO SPONSOR BANCARIO. L'ordine obbliga il consiglio di amministrazione ad aumentare «immediatamente» la supervisione sul sistema di controlli interni, sui sistemi informativi, sulle pratiche di erogazione del credito e sull'audit interno legati alle leggi di tutela del consumatore — quello che la banca stessa chiama Marketplace Lending Compliance Management System. Ma la clausola che cambia le cose nella pratica è un'altra: Cross River deve svolgere una due diligence rafforzata e ottenere l'approvazione preventiva dell'FDIC prima di avviare qualsiasi nuova partnership fintech. Per chi valuta Cross River come BIN sponsor significa che l'ingresso di un nuovo programma non dipende soltanto dalla banca. STATO ALLA DATA DI VERIFICA. Un consent order resta efficace finché l'FDIC non lo revoca, lo modifica o lo sospende formalmente. Alla data di questa verifica non risulta pubblicato alcun ordine di revoca, e le coperture di stampa più recenti (luglio 2026, a proposito del ruolo di Cross River come banca assicurata FDIC dietro X Money) lo descrivono ancora come attivo. Lo scriviamo come una verifica di ciò che risulta pubblicamente, non come una certezza: se e quando l'FDIC pubblicherà la revoca, questa voce va chiusa.

Ultime informazioni verificate

La SEC ha contestato a Nexo Capital di non aver registrato l'offerta e la vendita dell'Earn Interest Product, qualificandolo come titolo. Nexo ha pagato 22,5 milioni alla SEC e altrettanti ai regolatori statali di oltre 50 giurisdizioni, senza ammettere né negare gli addebiti, accettando un ordine di cease-and-desist e la chiusura del prodotto per gli investitori statunitensi. La SEC ha valorizzato la cooperazione e la sospensione volontaria del prodotto già dal febbraio 2022. Nessuna contestazione di frode e nessuna perdita di fondi dei clienti.

Ultime informazioni verificate

Dopo il blitz della procura bulgara, con ipotesi di riciclaggio, evasione, frode informatica e attività bancaria senza licenza, Nexo dichiarò di non registrare attività anomala sui prelievi, pur a fronte di deflussi osservati on-chain. Il 22 dicembre 2023 la procura ha chiuso l'indagine senza prove di reato. Nexo ha poi avviato un arbitrato internazionale contro la Bulgaria.

Ultime informazioni verificate

Il Dipartimento dei Servizi Finanziari dello Stato di New York ha giudicato il programma di adeguata verifica della clientela «immaturo e inadeguato», il monitoraggio delle transazioni inefficace e ha rilevato, a fine 2021, oltre 100.000 alert non esaminati. Coinbase ha accettato una sanzione civile di 50 milioni, non deducibile né assicurabile, e si è impegnata a investire almeno altri 50 milioni nel programma di compliance entro 24 mesi, sotto la supervisione di un monitor indipendente.

Ultime informazioni verificate

Il 16 dicembre 2022 alle 10:12 UTC un attaccante ha iniziato a prelevare liquidità da Raydium usando l'account **Pool Owner (admin)** del programma Liquidity Pool V4. Il punto tecnico, e Raydium lo scrive nel proprio post-mortem, è che **non c'era alcuna vulnerabilità nei contratti**: l'attaccante aveva in mano la chiave privata dell'autorità amministrativa, verosimilmente per un malware di tipo trojan sulla macchina che la deteneva. Con quella chiave ha richiamato una funzione di prelievo delle commissioni e ha svuotato **otto pool a prodotto costante** per circa **4,4 milioni di dollari** complessivi, in RAY, stSOL, whETH, USDC, SOL, UXP, ZBC e USDT. Gli sviluppatori hanno distribuito una patch nel giro di poche ore, bloccando la possibilità di toccare le altre pool. Il tentativo di recupero è fallito: Raydium ha offerto pubblicamente una taglia del 10% più il saldo in RAY sottratto, e l'attaccante non ha restituito nulla. A quel punto il protocollo ha fatto l'unica cosa che restava, e l'ha portata a termine: la governance ha autorizzato l'uso dei ricavi destinati al buyback e di allocazioni di token del team per rimborsare i fornitori di liquidità, su uno snapshot dei saldi LP scattato al momento dell'exploit. Il **portale di claim** è rimasto aperto fino al **14 maggio 2023 alle 23:59 UTC** e ha restituito il **100% del capitale** perso su RAY-USDC, RAY-SOL e RAY-USDT, e il **90%** su SOL-USDC, SOL-USDT, stSOL-USDC, ETH-USDC, UXP-USDC e ZBC-USDC. Quanto non reclamato è tornato al Buyback Treasury. Detto con precisione, perché la differenza conta: non è una promessa di rimborso, è un rimborso avvenuto e chiuso — ma non integrale per tutti, sei pool su nove hanno recuperato nove decimi.

Ultime informazioni verificate

Il 14 dicembre 2022 Gemini ha pubblicato sul blog ufficiale un avviso sulle campagne di phishing rivolte ai suoi clienti, spiegando che «un incidente presso un fornitore terzo» aveva permesso a un soggetto non autorizzato di raccogliere indirizzi email e numeri di telefono parziali di alcuni clienti. Lo stesso giorno è circolato un archivio da 5.701.649 righe con quei dati; Have I Been Pwned, che lo ha indicizzato il 16/12/2022, conta circa 5,3 milioni di account distinti — le due cifre non coincidono perché le righe includono duplicati, e va letta come dimensione dell'archivio la prima e come numero di persone la seconda. I numeri di telefono erano troncati, con alcune cifre nascoste. L'azienda dichiara che l'archivio NON conteneva nomi, indirizzi né documentazione KYC, e soprattutto che «nessuna informazione di conto Gemini né alcun sistema Gemini è stato interessato» e che «tutti i fondi e i conti dei clienti restano sicuri»: la violazione era del fornitore, non dell'exchange. Il dato non è comparso all'improvviso: era in vendita sui forum già da settembre 2022 a 30 bitcoin (circa 520.000 dollari di allora), riproposto in ottobre e a metà novembre in un pacchetto con archivi di altri exchange, e solo dopo pubblicato gratuitamente. ⚠️ Gemini non ha mai nominato il fornitore. Have I Been Pwned attribuisce l'origine a Twilio, che trattava dati dei clienti Gemini attraverso il servizio di autenticazione a due fattori Authy e che ha ricondotto la propria violazione a «un sofisticato attacco di ingegneria sociale progettato per rubare le credenziali dei dipendenti»: è un'attribuzione di terzi coerente, ma l'azienda non l'ha confermata e va tenuta distinta dai fatti che ha dichiarato. Nessun post-mortem, nessun conteggio ufficiale di clienti coinvolti.

Ultime informazioni verificate

Poco prima della mezzanotte UTC del 1° novembre 2022 l'hot wallet di Deribit è stato compromesso: sono usciti 28 milioni di dollari fra BTC, ETH e USDC (questi ultimi convertiti subito in ETH). Deribit ha bloccato immediatamente tutti i prelievi, comprese le integrazioni con terze parti (Copper Clearloop, Cobo Loop, Banxa), e ha comunicato il fatto sul proprio account X alle 07:00 UTC del 2 novembre. I prelievi sono stati riaperti nell'arco della stessa giornata: Copper Clearloop e Cobo Loop alle 15:30, i prelievi on-chain ordinari alle 23:00 del 2 novembre. Il rapporto ufficiale del 7 novembre 2022 dichiara che trading, fondi dei clienti, Insurance Fund, Fireblocks, Copper Clearloop, Cobo Loop e tutti gli indirizzi in cold storage non sono stati toccati, che non risultano indizi di compromissione di dati o account dei clienti e che i prelievi non autorizzati dai conti clienti sono stati zero. La perdita è stata assorbita dal bilancio della società — non dall'Insurance Fund, che all'epoca valeva circa 40 milioni di dollari. Il 2 novembre la gestione di BTC, ETH e USDC è passata interamente a Fireblocks, con ogni prelievo sottoposto a conferma manuale di un amministratore (finestra dichiarata: 60 minuti). I fondi rubati sono rimasti fermi fino al 5 novembre, quando sono stati indirizzati verso il mixer Tornado Cash. ⚠️ Due precisazioni che il registro tiene ferme. La prima: il rapporto ufficiale NON dichiara come l'attaccante sia entrato — dice soltanto che l'hot wallet «è stato compromesso». L'unica spiegazione circolata è una dichiarazione del chief commercial officer Luuk Strijers alla stampa («gli attaccanti hanno ottenuto accesso al nostro server dei wallet»), che non compare nel documento aziendale: è riportata come dichiarazione, non come causa accertata. La seconda: il fatto è del novembre 2022 e riguarda Deribit B.V. quando era una società a sé, registrata a Panama. L'acquisizione da parte di Coinbase si è perfezionata nell'agosto 2025, quasi tre anni dopo: non è un incidente dell'era Coinbase e non è stato replicato sulle schede Coinbase.

Ultime informazioni verificate

La causa, accompagnata da azioni coordinate di altri sette regolatori statali lo stesso giorno, contestava la mancata registrazione come broker-dealer, la falsa dichiarazione di essere una «piattaforma licenziata e registrata» e l'offerta dell'Earn Interest Product a circa 10.000 residenti di New York. Chiusa con l'accordo multistato del gennaio 2023, che ha imposto anche un divieto quinquennale di offrire titoli a New York.

Ultime informazioni verificate

Accesso non autorizzato al database tramite social engineering. Coinvolti 50.150 clienti, di cui 20.687 nello Spazio economico europeo: nomi, indirizzi, email, telefoni e dati parziali di carta. Revolut ha dichiarato che non sono stati esposti PIN, password o fondi e ha notificato l'autorità lituana per la protezione dei dati. Nei giorni successivi si è registrata un'ondata di SMS di phishing verso gli utenti.

Ultime informazioni verificate

Il 9 agosto 2022 il nameserver del dominio curve.fi è stato compromesso presso il registrar iwantmyname. Chi digitava l'indirizzo ufficiale finiva su una copia identica del sito, che al posto delle normali operazioni chiedeva di firmare un'autorizzazione a favore di un contratto dell'attaccante: i fondi venivano prelevati dal wallet della vittima, non dalle casse del protocollo. Curve ha dato l'allarme dal proprio account ufficiale — «non usate il sito, il nameserver è compromesso» — e circa un'ora dopo ha annunciato di aver individuato e ripristinato la configurazione, invitando chiunque avesse approvato contratti su Curve nelle ore precedenti a revocare l'autorizzazione «immediatamente». Le ricostruzioni della stampa specializzata quantificano in poco più di 573.000 dollari quanto sottratto in quella finestra. DUE COSE DA TENERE DISTINTE. Gli smart contract di Curve non sono stati toccati: chi aveva liquidità nelle pool non ha perso nulla per questo fatto. A perdere sono stati gli utenti che in quell'ora hanno firmato sul sito fasullo. È un attacco allo strato web del servizio, non al protocollo — ma è comunque un fatto del servizio, perché il dominio dirottato era il suo. QUELLO CHE NON È SUCCESSO. Non risulta alcuna restituzione agli utenti colpiti: i 573.000 dollari non sono mai tornati indietro. Il fatto è chiuso nel senso che il dominio è stato ripreso in giornata, non nel senso che qualcuno sia stato rimborsato. IL PRECEDENTE CHE CONTA. Il registrar coinvolto, iwantmyname, è lo stesso del dirottamento del maggio 2025 registrato qui sotto: la stessa dipendenza esterna ha ceduto due volte a tre anni di distanza, ed è la ragione per cui nel 2025 Curve ha lasciato il dominio .fi.

Ultime informazioni verificate

Provvedimento n. 254 del 05/07/2022, dopo l'ispezione dall'8 marzo al 4 giugno 2021: carenze nell'organizzazione, nelle politiche di remunerazione e nella gestione dei rischi, in particolare di credito e operativo (art. 53 TUB). Sanzione di 100.000 €. Sulla pagina ufficiale non risulta alcuna impugnazione.

Ultime informazioni verificate

Con il provvedimento n. 30210 del 21 giugno 2022 (caso PS12164, Bollettino n. 26 dell'11 luglio 2022), su segnalazione della Banca d'Italia del 4 ottobre 2021, l'Autorità garante della concorrenza e del mercato ha accertato che dal 2016 al settembre 2021 i contratti di mutuo di Extrabanca contenevano una clausola di «canalizzazione degli emolumenti» sul conto corrente della banca stessa: per ottenere il mutuo bisognava aprire un conto Extrabanca, che costa in media circa 80 € l'anno, sopra la media di mercato. Nel periodo sono stati concessi 578 mutui per 62,3 milioni di euro, di cui 418 (43,9 milioni) con apertura contestuale del conto, e 372 conti con canalizzazione. L'Autorità ha considerato aggravante che la clientela della banca sia in prevalenza extracomunitaria e quindi più esposta per barriere linguistiche, culturali e di educazione finanziaria. La pratica è scorretta di per sé ai sensi dell'art. 21, comma 3-bis del Codice del Consumo. Sanzione base 250.000 €, ridotta a 150.000 € per le misure adottate: la clausola è stata eliminata dai contratti nel settembre 2021 e il 15 aprile 2022 la banca ha accreditato ai clienti interessati 30 € per ogni anno di rapporto, scrivendo loro che possono addebitare le rate e accreditare lo stipendio su qualsiasi banca. Le due proposte di impegni presentate da Extrabanca erano state respinte. Il provvedimento è impugnabile al TAR del Lazio; non ci risulta l'esito di un eventuale ricorso.

Ultime informazioni verificate

Con l'ordinanza-ingiunzione n. 226 del 16 giugno 2022 il Garante per la protezione dei dati personali ha sanzionato Deutsche Bank S.p.A. (Milano) per 20.000 euro. Il fatto accertato: una richiesta di accesso ai propri dati presentata da un cliente il 13 luglio 2020 e trasmessa via PEC non ha ricevuto risposta né «senza ingiustificato ritardo e comunque al più tardi entro un mese» dal ricevimento, né con una comunicazione dei motivi della mancata risposta nei termini previsti. Violati gli artt. 12, par. 3, e 15 del GDPR. Le due difese della banca sono state respinte entrambe, ed è la parte più istruttiva del provvedimento: che la richiesta fosse annegata dentro un reclamo più lungo e generico non la rende invisibile — il Garante l'ha giudicata chiaramente formulata e regolarmente recapitata; e che le informazioni fossero «già note» al cliente non esonera dall'obbligo, perché il diritto di accesso serve anche a verificare che i dati siano esatti. ⚠️ Che cosa NON è questo fatto: non è una fuga di dati, non ci sono clienti i cui dati siano finiti fuori dalla banca. È una sanzione di un'autorità nazionale sulla gestione dei diritti di chi quei dati li ha dati: il motivo per cui è registrata — con gravità `minore`, perchè riguarda una singola istanza e l'importo è modesto — è che riguarda la società, non un singolo prodotto, e vale quindi per tutte le schede Deutsche Bank S.p.A. `risolto: false` con `in_corso: false`, cioè «aperto» e non «in svolgimento»: il provvedimento è del 2022 e le fonti aperte consultate non dicono se sia stato pagato o impugnato. Dichiariamo il fatto certo e l'esito non verificato, invece di far finta di saperlo.

Ultime informazioni verificate

Con l'ordinanza-ingiunzione n. 226 del 16 giugno 2022 il Garante per la protezione dei dati personali ha sanzionato Deutsche Bank S.p.A. (Milano) per 20.000 euro. Il fatto accertato: una richiesta di accesso ai propri dati presentata da un cliente il 13 luglio 2020 e trasmessa via PEC non ha ricevuto risposta né «senza ingiustificato ritardo e comunque al più tardi entro un mese» dal ricevimento, né con una comunicazione dei motivi della mancata risposta nei termini previsti. Violati gli artt. 12, par. 3, e 15 del GDPR. Le due difese della banca sono state respinte entrambe, ed è la parte più istruttiva del provvedimento: che la richiesta fosse annegata dentro un reclamo più lungo e generico non la rende invisibile — il Garante l'ha giudicata chiaramente formulata e regolarmente recapitata; e che le informazioni fossero «già note» al cliente non esonera dall'obbligo, perché il diritto di accesso serve anche a verificare che i dati siano esatti. ⚠️ Che cosa NON è questo fatto: non è una fuga di dati, non ci sono clienti i cui dati siano finiti fuori dalla banca. È una sanzione di un'autorità nazionale sulla gestione dei diritti di chi quei dati li ha dati: il motivo per cui è registrata — con gravità `minore`, perchè riguarda una singola istanza e l'importo è modesto — è che riguarda la società, non un singolo prodotto, e vale quindi per tutte le schede Deutsche Bank S.p.A. `risolto: false` con `in_corso: false`, cioè «aperto» e non «in svolgimento»: il provvedimento è del 2022 e le fonti aperte consultate non dicono se sia stato pagato o impugnato. Dichiariamo il fatto certo e l'esito non verificato, invece di far finta di saperlo.

Ultime informazioni verificate

Con l'ordinanza-ingiunzione n. 226 del 16 giugno 2022 il Garante per la protezione dei dati personali ha sanzionato Deutsche Bank S.p.A. (Milano) per 20.000 euro. Il fatto accertato: una richiesta di accesso ai propri dati presentata da un cliente il 13 luglio 2020 e trasmessa via PEC non ha ricevuto risposta né «senza ingiustificato ritardo e comunque al più tardi entro un mese» dal ricevimento, né con una comunicazione dei motivi della mancata risposta nei termini previsti. Violati gli artt. 12, par. 3, e 15 del GDPR. Le due difese della banca sono state respinte entrambe, ed è la parte più istruttiva del provvedimento: che la richiesta fosse annegata dentro un reclamo più lungo e generico non la rende invisibile — il Garante l'ha giudicata chiaramente formulata e regolarmente recapitata; e che le informazioni fossero «già note» al cliente non esonera dall'obbligo, perché il diritto di accesso serve anche a verificare che i dati siano esatti. ⚠️ Che cosa NON è questo fatto: non è una fuga di dati, non ci sono clienti i cui dati siano finiti fuori dalla banca. È una sanzione di un'autorità nazionale sulla gestione dei diritti di chi quei dati li ha dati: il motivo per cui è registrata — con gravità `minore`, perchè riguarda una singola istanza e l'importo è modesto — è che riguarda la società, non un singolo prodotto, e vale quindi per tutte le schede Deutsche Bank S.p.A. `risolto: false` con `in_corso: false`, cioè «aperto» e non «in svolgimento»: il provvedimento è del 2022 e le fonti aperte consultate non dicono se sia stato pagato o impugnato. Dichiariamo il fatto certo e l'esito non verificato, invece di far finta di saperlo.

Ultime informazioni verificate

Con l'ordinanza-ingiunzione n. 226 del 16 giugno 2022 il Garante per la protezione dei dati personali ha sanzionato Deutsche Bank S.p.A. (Milano) per 20.000 euro. Il fatto accertato: una richiesta di accesso ai propri dati presentata da un cliente il 13 luglio 2020 e trasmessa via PEC non ha ricevuto risposta né «senza ingiustificato ritardo e comunque al più tardi entro un mese» dal ricevimento, né con una comunicazione dei motivi della mancata risposta nei termini previsti. Violati gli artt. 12, par. 3, e 15 del GDPR. Le due difese della banca sono state respinte entrambe, ed è la parte più istruttiva del provvedimento: che la richiesta fosse annegata dentro un reclamo più lungo e generico non la rende invisibile — il Garante l'ha giudicata chiaramente formulata e regolarmente recapitata; e che le informazioni fossero «già note» al cliente non esonera dall'obbligo, perché il diritto di accesso serve anche a verificare che i dati siano esatti. ⚠️ Che cosa NON è questo fatto: non è una fuga di dati, non ci sono clienti i cui dati siano finiti fuori dalla banca. È una sanzione di un'autorità nazionale sulla gestione dei diritti di chi quei dati li ha dati: il motivo per cui è registrata — con gravità `minore`, perchè riguarda una singola istanza e l'importo è modesto — è che riguarda la società, non un singolo prodotto, e vale quindi per tutte le schede Deutsche Bank S.p.A. `risolto: false` con `in_corso: false`, cioè «aperto» e non «in svolgimento»: il provvedimento è del 2022 e le fonti aperte consultate non dicono se sia stato pagato o impugnato. Dichiariamo il fatto certo e l'esito non verificato, invece di far finta di saperlo.

Ultime informazioni verificate

L'autorità francese ha inserito Bybit in blacklist per mancata registrazione come prestatore di servizi su asset digitali, riproponendo l'avvertimento pubblico nel maggio 2024 e riservandosi di far bloccare il sito. Bybit è stata rimossa dalla blacklist il 14 febbraio 2025 dopo oltre due anni di adeguamento; oggi Bybit EU GmbH è autorizzata MiCA dall'autorità austriaca e figura nella white list francese.

Ultime informazioni verificate

Il 5 maggio 2022 un tribunale federale ha ordinato ad Arthur Hayes, Benjamin Delo e Samuel Reed di pagare 10 milioni di dollari ciascuno per aver gestito una piattaforma di derivati crypto non registrata, accettato ordini e fondi da clienti statunitensi senza registrazione CFTC, operato come futures commission merchant non registrato e non aver istituito programmi KYC e antiriciclaggio adeguati. Il periodo contestato va dal novembre 2014 al 1° ottobre 2020. In sede penale i tre erano già stati condannati nel 2022 per violazione del Bank Secrecy Act. Sanzioni pagate, procedimento chiuso.

Ultime informazioni verificate

Il 28 febbraio 2022 l'Autorità Garante della Concorrenza e del Mercato ha chiuso il procedimento PS12146 sanzionando Crédit Agricole Italia S.p.A. con un milione di euro per pratica commerciale scorretta. CHE COSA FACEVA L'APP. Nell'applicazione di home banking, prima dell'aggiornamento rilasciato l'11 ottobre 2021, accanto al bonifico istantaneo — l'opzione più costosa di quella ordinaria — compariva la dicitura «Suggerito». E dopo che il cliente aveva comunque scelto il bonifico ordinario, l'opzione più onerosa gli veniva riproposta in una casella in evidenza con la scritta «Procedi con istantaneo». L'Autorità ha ritenuto la condotta idonea a «esercitare un indebito condizionamento e a limitare considerevolmente la libertà del consumatore medio» nella scelta del tipo di bonifico, in violazione degli articoli 24 e 25 del Codice del consumo. PERCHÉ È UN FATTO E NON UN'ACCUSA. È il punto che qui conta di più. Crédit Agricole ha impugnato il provvedimento, e con sentenza n. 9315/2025 pubblicata il 15 maggio 2025 il TAR del Lazio ha confermato la sanzione. Non stiamo quindi riportando una contestazione in attesa di giudizio, ma una sanzione che ha superato il primo grado di giudizio amministrativo. Non ci risulta una pronuncia successiva del Consiglio di Stato: se arriverà e ribalterà l'esito, questa voce va riscritta. PERCHÉ LO TENIAMO IN UNA SCHEDA DI CONTO. Perché non è un fatto su una campagna pubblicitaria: è un fatto sull'interfaccia con cui si spostano i soldi, cioè sul prodotto. Il costo che ne derivava lo pagava il cliente a ogni bonifico, e lo pagava senza averlo scelto davvero.

Ultime informazioni verificate

Provvedimento n. 28 del 25/01/2022: 100.000 € per violazione del limite sulle grandi esposizioni (art. 395 CRR) e 85.000 € per violazione degli obblighi informativi verso la Vigilanza (art. 51 TUB). La banca ha fatto opposizione, respinta dalla Corte d'Appello di Roma (sentenza n. 7644/2023), e poi ricorso in Cassazione. La pagina della Banca d'Italia è aggiornata al 25/07/2024 e non riporta ancora l'esito della Cassazione.

Ultime informazioni verificate

Prelievi sospesi per circa 14 ore, token 2FA azzerati e reimpostati per tutti gli utenti. L'azienda dichiara che nessun cliente ha subito perdite e che tutti gli utenti colpiti sono stati integralmente rimborsati.

Ultime informazioni verificate

Il 10 agosto 2021 un tribunale federale ha ordinato a HDR Global Trading Limited, 100x Holding Limited, ABS Global Trading Limited, Shine Effort Inc Limited e HDR Global Services (Bermuda) Limited di pagare 100 milioni di dollari, con un massimo di 50 milioni compensabili dal pagamento parallelo a FinCEN. Le contestazioni, riferite al periodo dal novembre 2014 al 1° ottobre 2020: gestione di una piattaforma di derivati crypto senza autorizzazione come Designated Contract Market o Swap Execution Facility, operatività come futures commission merchant non registrato, assenza di un Customer Identification Program e di procedure KYC, assenza di un programma antiriciclaggio adeguato, e raccolta di ordini e fondi da clienti statunitensi su prodotti derivati su bitcoin, ether e litecoin. Sanzione pagata.

Ultime informazioni verificate

Causa depositata nel Distretto Nord della California per conto di oltre 270.000 clienti, con accusa di negligenza e di aver minimizzato la portata della violazione. Respinta nel novembre 2021 per difetto di giurisdizione, è stata riformata in appello dal Nono Circuito il 1° dicembre 2022, che ha riconosciuto la giurisdizione californiana sulla base di circa 70.000 wallet venduti nello Stato. Il procedimento risulta ancora pendente e non risulta alcun accordo transattivo.

Ultime informazioni verificate

Con i provvedimenti n. 123 e n. 124 del 9/03/2021 la Banca d'Italia ha sanzionato la banca, allora Banca di Credito Peloritano e in amministrazione straordinaria, per 200.000 € in totale. Il n. 123 (art. 144 TUB, 100.000 €) riguarda carenze nell'organizzazione e nei controlli interni sul processo del credito. Il n. 124 (art. 62 d.lgs. 231/2007, 100.000 €) riguarda carenze nell'organizzazione e nei controlli antiriciclaggio, compresa l'adeguata verifica della clientela. Gli atti indicano che la banca, allora commissariata, non ha partecipato all'istruttoria.

Ultime informazioni verificate

Con il provvedimento n. 28511 del 22 dicembre 2020 (caso PS11798, Bollettino n. 2 dell'11 gennaio 2021), l'Autorità garante della concorrenza e del mercato ha sanzionato Findomestic Banca con 300.000 € per un'omissione informativa sul proprio sito: la pagina che spiegava come sospendere le rate di finanziamenti e leasing in base all'art. 56, comma 2, lettera c) del Decreto Cura Italia (D.L. 17 marzo 2020, n. 18) diceva che la sospensione era gratuita, ma non diceva da nessuna parte quanto tempo la banca avrebbe impiegato a rispondere — né un tempo stimato né un tempo massimo. Nemmeno il modulo da scaricare lo riportava. A chi si applicava, detto con precisione: la sospensione in questione era quella dei finanziamenti e leasing alle piccole e medie imprese, e i destinatari tutelati dal provvedimento sono le «microimprese» (meno di 10 dipendenti e meno di 2 milioni di fatturato), che il Codice del Consumo equipara ai consumatori contro le pratiche commerciali scorrette. Non era la sospensione delle rate di una carta o di un prestito al consumo. Il numero che rende concreta l'omissione lo ha fornito Findomestic stessa: tempo medio di evasione dichiarato due o tre giorni, ma fra gli esempi portati agli atti dalla banca ci sono una richiesta di fine marzo accolta il 14 maggio 2020, una del 31 marzo accettata il 15 maggio, una del 21 aprile approvata il 15 maggio — «ed altre analoghe situazioni con tempistiche di risposta superiori ai 30 giorni». Chi chiedeva la sospensione per non saltare una rata non poteva sapere se la risposta sarebbe arrivata in tre giorni o in sei settimane, e quindi non poteva valutare alternative. La difesa della banca è stata che nessuna norma le imponeva di pubblicare i tempi massimi di lavorazione. L'Autorità ha risposto che l'omissione viola l'art. 22 del Codice del Consumo comunque, perché è rilevante: e ha pesato la sanzione sulla dimensione dell'operatore (ricavi 2019 pari a circa 1.275 milioni di euro) e sulla «debolezza dei destinatari della stessa pratica, vale a dire microimprese in situazione di difficoltà e di pressione connesse con l'emergenza sanitaria». Interessante il parere della Banca d'Italia, acquisito agli atti: per le sue competenze, la stessa condotta «non configura violazioni» delle disposizioni sulla trasparenza bancaria. Due autorità, due metri: quello che passa il controllo di trasparenza della vigilanza può comunque essere una pratica scorretta verso il cliente. La condotta è durata da marzo 2020 a fine settembre 2020, quando Findomestic ha modificato il sito aggiungendo che l'esito sarebbe stato comunicato per email «entro massimo 10 giorni dal ricevimento della documentazione completa». Il provvedimento vieta la reiterazione della pratica e ordina il pagamento entro trenta giorni; era impugnabile al TAR del Lazio entro sessanta giorni e non ci risulta l'esito di un eventuale ricorso.

Ultime informazioni verificate

Con il provvedimento n. 28511 del 22 dicembre 2020 (caso PS11798, Bollettino n. 2 dell'11 gennaio 2021), l'Autorità garante della concorrenza e del mercato ha sanzionato Findomestic Banca con 300.000 € per un'omissione informativa sul proprio sito: la pagina che spiegava come sospendere le rate di finanziamenti e leasing in base all'art. 56, comma 2, lettera c) del Decreto Cura Italia (D.L. 17 marzo 2020, n. 18) diceva che la sospensione era gratuita, ma non diceva da nessuna parte quanto tempo la banca avrebbe impiegato a rispondere — né un tempo stimato né un tempo massimo. Nemmeno il modulo da scaricare lo riportava. A chi si applicava, detto con precisione: la sospensione in questione era quella dei finanziamenti e leasing alle piccole e medie imprese, e i destinatari tutelati dal provvedimento sono le «microimprese» (meno di 10 dipendenti e meno di 2 milioni di fatturato), che il Codice del Consumo equipara ai consumatori contro le pratiche commerciali scorrette. Non era la sospensione delle rate di una carta o di un prestito al consumo. Il numero che rende concreta l'omissione lo ha fornito Findomestic stessa: tempo medio di evasione dichiarato due o tre giorni, ma fra gli esempi portati agli atti dalla banca ci sono una richiesta di fine marzo accolta il 14 maggio 2020, una del 31 marzo accettata il 15 maggio, una del 21 aprile approvata il 15 maggio — «ed altre analoghe situazioni con tempistiche di risposta superiori ai 30 giorni». Chi chiedeva la sospensione per non saltare una rata non poteva sapere se la risposta sarebbe arrivata in tre giorni o in sei settimane, e quindi non poteva valutare alternative. La difesa della banca è stata che nessuna norma le imponeva di pubblicare i tempi massimi di lavorazione. L'Autorità ha risposto che l'omissione viola l'art. 22 del Codice del Consumo comunque, perché è rilevante: e ha pesato la sanzione sulla dimensione dell'operatore (ricavi 2019 pari a circa 1.275 milioni di euro) e sulla «debolezza dei destinatari della stessa pratica, vale a dire microimprese in situazione di difficoltà e di pressione connesse con l'emergenza sanitaria». Interessante il parere della Banca d'Italia, acquisito agli atti: per le sue competenze, la stessa condotta «non configura violazioni» delle disposizioni sulla trasparenza bancaria. Due autorità, due metri: quello che passa il controllo di trasparenza della vigilanza può comunque essere una pratica scorretta verso il cliente. La condotta è durata da marzo 2020 a fine settembre 2020, quando Findomestic ha modificato il sito aggiungendo che l'esito sarebbe stato comunicato per email «entro massimo 10 giorni dal ricevimento della documentazione completa». Il provvedimento vieta la reiterazione della pratica e ordina il pagamento entro trenta giorni; era impugnabile al TAR del Lazio entro sessanta giorni e non ci risulta l'esito di un eventuale ricorso.

Ultime informazioni verificate

Con il provvedimento n. 28511 del 22 dicembre 2020 (caso PS11798, Bollettino n. 2 dell'11 gennaio 2021), l'Autorità garante della concorrenza e del mercato ha sanzionato Findomestic Banca con 300.000 € per un'omissione informativa sul proprio sito: la pagina che spiegava come sospendere le rate di finanziamenti e leasing in base all'art. 56, comma 2, lettera c) del Decreto Cura Italia (D.L. 17 marzo 2020, n. 18) diceva che la sospensione era gratuita, ma non diceva da nessuna parte quanto tempo la banca avrebbe impiegato a rispondere — né un tempo stimato né un tempo massimo. Nemmeno il modulo da scaricare lo riportava. A chi si applicava, detto con precisione: la sospensione in questione era quella dei finanziamenti e leasing alle piccole e medie imprese, e i destinatari tutelati dal provvedimento sono le «microimprese» (meno di 10 dipendenti e meno di 2 milioni di fatturato), che il Codice del Consumo equipara ai consumatori contro le pratiche commerciali scorrette. Non era la sospensione delle rate di una carta o di un prestito al consumo. Il numero che rende concreta l'omissione lo ha fornito Findomestic stessa: tempo medio di evasione dichiarato due o tre giorni, ma fra gli esempi portati agli atti dalla banca ci sono una richiesta di fine marzo accolta il 14 maggio 2020, una del 31 marzo accettata il 15 maggio, una del 21 aprile approvata il 15 maggio — «ed altre analoghe situazioni con tempistiche di risposta superiori ai 30 giorni». Chi chiedeva la sospensione per non saltare una rata non poteva sapere se la risposta sarebbe arrivata in tre giorni o in sei settimane, e quindi non poteva valutare alternative. La difesa della banca è stata che nessuna norma le imponeva di pubblicare i tempi massimi di lavorazione. L'Autorità ha risposto che l'omissione viola l'art. 22 del Codice del Consumo comunque, perché è rilevante: e ha pesato la sanzione sulla dimensione dell'operatore (ricavi 2019 pari a circa 1.275 milioni di euro) e sulla «debolezza dei destinatari della stessa pratica, vale a dire microimprese in situazione di difficoltà e di pressione connesse con l'emergenza sanitaria». Interessante il parere della Banca d'Italia, acquisito agli atti: per le sue competenze, la stessa condotta «non configura violazioni» delle disposizioni sulla trasparenza bancaria. Due autorità, due metri: quello che passa il controllo di trasparenza della vigilanza può comunque essere una pratica scorretta verso il cliente. La condotta è durata da marzo 2020 a fine settembre 2020, quando Findomestic ha modificato il sito aggiungendo che l'esito sarebbe stato comunicato per email «entro massimo 10 giorni dal ricevimento della documentazione completa». Il provvedimento vieta la reiterazione della pratica e ordina il pagamento entro trenta giorni; era impugnabile al TAR del Lazio entro sessanta giorni e non ci risulta l'esito di un eventuale ricorso.

Ultime informazioni verificate

Il 16 ottobre 2020 OKEx (oggi OKX) ha sospeso tutti i prelievi di criptovalute dichiarando che uno dei detentori delle chiavi private non era raggiungibile perché impegnato a collaborare con un'indagine delle autorità cinesi. Il detentore era Mingxing «Star» Xu, fondatore di OKCoin e amministratore delegato di OK Group. Depositi e trading sono rimasti attivi, ma per cinque settimane nessun utente ha potuto portare via i propri fondi. Il 19 novembre 2020 l'exchange ha annunciato la riapertura, dichiarando riserve al 100% e la piena prelevabilità dei saldi; i prelievi sono ripartiti il 26 novembre 2020. Non ci sono state perdite per gli utenti e non si è trattato di un attacco informatico: il punto è l'architettura di custodia, che aveva reso l'accesso ai fondi dipendente dalla reperibilità di una singola persona.

Ultime informazioni verificate

Il 16 ottobre 2020 OKEx (oggi OKX) ha sospeso tutti i prelievi di criptovalute dichiarando che uno dei detentori delle chiavi private non era raggiungibile perché impegnato a collaborare con un'indagine delle autorità cinesi. Il detentore era Mingxing «Star» Xu, fondatore di OKCoin e amministratore delegato di OK Group. Depositi e trading sono rimasti attivi, ma per cinque settimane nessun utente ha potuto portare via i propri fondi. Il 19 novembre 2020 l'exchange ha annunciato la riapertura, dichiarando riserve al 100% e la piena prelevabilità dei saldi; i prelievi sono ripartiti il 26 novembre 2020. Non ci sono state perdite per gli utenti e non si è trattato di un attacco informatico: il punto è l'architettura di custodia, che aveva reso l'accesso ai fondi dipendente dalla reperibilità di una singola persona.

Ultime informazioni verificate

Nel 2020 Kraken Security Labs pubblicò un'analisi delle falle del CoolWallet S (il modello precedente al Pro): l'app companion Android conservava PIN e seed in chiaro nella memoria del telefono, esponendoli a malware con accesso al dispositivo. CoolBitX corresse il difetto negli aggiornamenti successivi. L'incidente riguarda il modello S, non il Pro, ma è riportato per continuità storica del marchio.

Ultime informazioni verificate

Curve ha ripristinato il servizio nel fine settimana successivo e ha accelerato la migrazione da Wirecard, portando in casa l'emissione di carte e moneta elettronica. La FCA ha revocato le restrizioni a Wirecard il 30 giugno 2020.

Ultime informazioni verificate

Accesso non autorizzato via chiave API il 25 giugno 2020, scoperto il 14 luglio tramite bug bounty e comunicato il 29 luglio. Nel dicembre 2020 il dump è stato pubblicato su un forum di hacking: circa 272.000 record con nome, indirizzo postale e telefono. Ne sono seguite campagne di phishing via email e SMS e timori per la sicurezza fisica dei clienti, dato che erano esposti gli indirizzi di spedizione. Nessun dato di pagamento, password, seed phrase o fondo è stato compromesso: il dispositivo non è stato violato. Ledger ha assunto un CISO e rafforzato bug bounty e test continui.

Ultime informazioni verificate

Commissariamento disposto con provvedimento della Regione Siciliana n. 456 del 16/04/2020. Si è chiuso il 28/02/2022, quando l'assemblea dei soci ha ricostituito gli organi sociali e la banca è tornata alla gestione ordinaria. Gli organi si sono insediati l'1/03/2022 (comunicazione della Banca d'Italia). Nel 2024 la banca ha incorporato Tyche e ha assunto il nome Tyche Bank.

Ultime informazioni verificate

Il 1° novembre 2019 BitMEX ha inviato un aggiornamento generale agli utenti lasciando gli indirizzi email dei destinatari nel campo visibile anziché in copia nascosta. L'azienda ha confermato il fatto lo stesso giorno con un post sul proprio blog e una dichiarazione della vice direttrice operativa Vivien Khoo: l'errore era nel software di invio, gli invii successivi sono stati bloccati appena rilevato il problema, e «al di là degli indirizzi email nessun dato personale o informazione di conto è stato divulgato». BitMEX ha poi forzato il reset della password per tutti gli utenti con saldo e senza secondo fattore. Sulla dimensione le stime divergono: le ricostruzioni giornalistiche dell'epoca parlano di circa 22.000 destinatari, mentre un account terzo rivendicava di aver raccolto oltre 400.000 indirizzi — una rivendicazione mai verificata né confermata dall'azienda, che qui resta tale e non è un dato.

Ultime informazioni verificate

Provvedimento n. 27977 dell'AGCM, adunanza del 29 ottobre 2019, caso PS11401, pubblicato nel Bollettino n. 46 del 18 novembre 2019. Fra gennaio e il 19 aprile 2019 Deutsche Bank ha diffuso su internet, con spot televisivi e volantini un'operazione a premi che prometteva «un premio dell'+1% sul totale investito» a chi portava i propri capitali in banca. Il premio veniva poi erogato in forma difforme da quanto il messaggio principale lasciava intendere: un voucher elettronico con limiti d'uso, non una somma di denaro. L'Autorità ha giudicato la pratica scorretta ai sensi degli artt. 21 e 23, lettera u), del Codice del Consumo, ne ha vietato la diffusione e ha irrogato 4.000.000 di euro. Il procedimento era partito dalle segnalazioni di Altroconsumo e di un consumatore; il 17 aprile 2019 l'AGCM aveva già adottato una misura cautelare. Acquisiti i pareri della Banca d'Italia e dell'AGCOM. ESITO DELL'IMPUGNAZIONE. Il TAR del Lazio ha confermato la sanzione e il Consiglio di Stato ha respinto l'appello della banca con la sentenza n. 4994/2025 (R.G. 922/2024), pubblicata il 10 giugno 2025, ritenendo congruo l'importo: l'AGCM aveva correttamente pesato la dimensione della banca, la gravità della violazione, la diffusione del messaggio e le asimmetrie informative tipiche del settore. ⚠️ Trasparenza sulle fonti: il provvedimento sanzionatorio lo abbiamo letto nel bollettino ufficiale dell'AGCM; l'esito dell'appello è riportato da una sola testata specializzata (AziendaBanca) con gli estremi verificabili della sentenza, il cui testo non siamo riusciti ad aprire. `risolto: true`: il procedimento è chiuso e la sanzione è definitiva dopo il terzo grado. ⚠️ Chiuso non significa risarcito: una sanzione dell'Antitrust va allo Stato, non a chi aveva aderito alla promozione, e in scheda non la raccontiamo come se fosse un rimborso. PERCHÉ STA SU QUESTA SCHEDA E NON SULLE ALTRE Deutsche Bank: è una pratica commerciale, e riguardava il conto corrente e i servizi d'investimento dei correntisti — non le carte né il conto deposito. I fatti che riguardano la società nel suo insieme, come le sanzioni sui dati personali, stanno invece su tutte le schede.

Ultime informazioni verificate

Fra il 1° e il 6 ottobre 2019 il consorzio informatico del gruppo, Crédit Agricole Group Solutions, ha recapitato per posta elettronica certificata estratti conto bancari a clienti diversi dai titolari dei conti a cui quei documenti si riferivano: 2.219 PEC complessive. Le due banche hanno notificato la violazione al Garante per la protezione dei dati personali il 9 ottobre 2019. IL PROVVEDIMENTO. Con provvedimento prescrittivo e sanzionatorio del 14 gennaio 2021 (doc. web 9582744) il Garante ha accertato la violazione degli articoli 5, paragrafo 1, lettera f) e 32 del Regolamento UE 2016/679, cioè i principi e le misure sulla sicurezza del trattamento. Le sanzioni amministrative pecuniarie sono di 1.650.000 euro a carico di Crédit Agricole Italia S.p.A. e di 315.023 euro a carico di Crédit Agricole FriulAdria S.p.A., per un totale di 1.965.023 euro. Crédit Agricole Group Solutions, responsabile del trattamento e all'origine dell'anomalia tecnica, non è stata sanzionata direttamente. CHE COSA È USCITO. Non credenziali e non denaro: documenti contabili con nome del titolare, dati del rapporto e movimenti del conto, finiti nella casella PEC di un altro cliente della stessa banca. È il genere di esposizione che non si può richiamare indietro e che non si ripara cambiando una password. STATO ALLA DATA DI VERIFICA. Il provvedimento risulta tuttora pubblicato sul sito del Garante e non risulta alcuna pronuncia che lo abbia annullato. Lo verifichiamo perché una sanzione impugnata non è definitiva: qui, allo stato degli atti pubblici, non emerge un esito di segno contrario.

Ultime informazioni verificate

Fra il 1° e il 6 ottobre 2019 il consorzio informatico del gruppo, Crédit Agricole Group Solutions, ha recapitato per posta elettronica certificata estratti conto bancari a clienti diversi dai titolari dei conti a cui quei documenti si riferivano: 2.219 PEC complessive. Le due banche hanno notificato la violazione al Garante per la protezione dei dati personali il 9 ottobre 2019. IL PROVVEDIMENTO. Con provvedimento prescrittivo e sanzionatorio del 14 gennaio 2021 (doc. web 9582744) il Garante ha accertato la violazione degli articoli 5, paragrafo 1, lettera f) e 32 del Regolamento UE 2016/679, cioè i principi e le misure sulla sicurezza del trattamento. Le sanzioni amministrative pecuniarie sono di 1.650.000 euro a carico di Crédit Agricole Italia S.p.A. e di 315.023 euro a carico di Crédit Agricole FriulAdria S.p.A., per un totale di 1.965.023 euro. Crédit Agricole Group Solutions, responsabile del trattamento e all'origine dell'anomalia tecnica, non è stata sanzionata direttamente. CHE COSA È USCITO. Non credenziali e non denaro: documenti contabili con nome del titolare, dati del rapporto e movimenti del conto, finiti nella casella PEC di un altro cliente della stessa banca. È il genere di esposizione che non si può richiamare indietro e che non si ripara cambiando una password. STATO ALLA DATA DI VERIFICA. Il provvedimento risulta tuttora pubblicato sul sito del Garante e non risulta alcuna pronuncia che lo abbia annullato. Lo verifichiamo perché una sanzione impugnata non è definitiva: qui, allo stato degli atti pubblici, non emerge un esito di segno contrario.

Ultime informazioni verificate

Gli attaccanti hanno ottenuto chiavi API e codici 2FA prelevando 7.000 BTC in un'unica transazione, circa il 2% delle riserve BTC. Binance ha coperto integralmente la perdita con il fondo SAFU: nessun fondo utente intaccato.

Ultime informazioni verificate

Il 7 gennaio 2019, fra le 00:40 e le 04:20 UTC, la rete Ethereum Classic ha subito un attacco del 51%: transazioni regolarmente confermate sono state annullate da un riavvolgimento della catena. Chi ci ha perso soldi è stato Gate.io, che quei depositi li aveva già accreditati. È l'exchange stesso a raccontarlo: l'8 gennaio 2019 Gate.io Research pubblica la propria analisi — sette transazioni riavvolte, quattro attribuite all'attaccante per 54.200 ETC complessivi (circa 271.500 dollari al cambio di allora), con una perdita effettiva per l'exchange di circa 40.000 ETC — e dichiara che «Gate.io si accollerà tutta la perdita per gli utenti». Il 12 gennaio 2019 alle 04:07 UTC Gate.io pubblica un secondo annuncio ufficiale: «il 10 gennaio abbiamo scoperto che il recente attaccante del 51% su ETC ha restituito a Gate il valore di 100.000 dollari in ETC», aggiungendo di aver provato a contattarlo senza risposta e di non conoscerne il motivo. Il punto tecnico, che è il pezzo interessante per chi valuta l'exchange: l'attacco era contro la rete, non contro i sistemi di Gate.io, ma la perdita è ricaduta sull'exchange perché accreditava i depositi ETC dopo troppe poche conferme. Dopo l'incidente Gate.io ha alzato la soglia di conferme su ETC (da 12 a 500, secondo la sua stessa comunicazione dell'epoca) e ha introdotto un sistema di allerta sulla doppia spesa per le reti proof-of-work. Cosa NON abbiamo trovato, e lo dichiariamo: una conferma al passato che il rimborso agli utenti sia stato completato. L'impegno del 2019 è al futuro; in sette anni non risultano utenti rimasti scoperti, nessuna causa e nessun reclamo collettivo, e per questo il caso è trattato come chiuso — non perché esista una dichiarazione di chiusura.

Ultime informazioni verificate

Electrum è un wallet leggero: non scarica la blockchain, si collega a server della rete pubblica ElectrumX. Fino alla versione 3.3.3 il client mostrava i messaggi d'errore ricevuti dal server come testo formattato, senza filtrarli — comportamento predefinito di Qt. Un attaccante ha allora messo in rete un gran numero di server malevoli su intervalli di indirizzi IP diversi, per aumentare la probabilità che i client vi si collegassero: quando l'utente provava a inviare una transazione, il server rispondeva con un finto messaggio d'errore che invitava a scaricare un «aggiornamento» di Electrum. Quel file era malware, e chi lo installava si faceva svuotare il wallet. La falla è documentata dagli sviluppatori stessi nella segnalazione aperta il 26 dicembre 2018 sul repository ufficiale del progetto, ed è stata chiusa con la versione 3.3.3; dalla 3.3.4 i messaggi dei server non vengono più mostrati come testo formattato. Un'analisi indipendente stimò che al culmine gli attaccanti controllassero circa il 70% dei server della rete. Sulle cifre le fonti divergono e nessuna è ufficiale: si va dalle oltre 200 BTC delle prime ricostruzioni alle oltre 771 BTC attribuite all'intera serie di attacchi, protrattasi per mesi nel 2019 — per questo qui non è indicato alcun importo. Gli utenti colpiti non sono stati rimborsati: Electrum è software libero senza custodia dei fondi, non esiste un intermediario a cui chiedere il rimborso. Il caso è chiuso nel senso che la vulnerabilità è stata corretta da anni, non nel senso che qualcuno abbia recuperato il maltolto.

Ultime informazioni verificate

Il 28 marzo 2018 la FDIC ha annunciato la definizione di un procedimento nei confronti di Cross River Bank (Teaneck, New Jersey) e di Freedom Financial Asset Management, LLC (San Mateo, California) per pratiche sleali e ingannevoli in violazione della Sezione 5 del Federal Trade Commission Act, nella commercializzazione e nell'erogazione dei prestiti «Consolidation Plus», offerti in esclusiva ai consumatori che avevano già un contratto con la società di transazione del debito collegata, Freedom Debt Relief. CHE COSA È STATO CONTESTATO. Secondo l'autorità i consumatori venivano indotti a firmare i documenti del prestito senza conoscerne i termini essenziali; non veniva detto loro che i principali creditori non trattano con la società di transazione del debito; veniva rappresentato che il prestito avrebbe portato alla chiusura di tutti i loro debiti in 30-45 o 30-90 giorni; ed erano ingannevoli anche le promesse sul miglioramento del merito creditizio. All'accertamento si aggiungono violazioni del Truth in Lending Act e dell'Electronic Fund Transfer Act. LE CIFRE. Sanzione amministrativa di 641.750 dollari a carico di Cross River Bank e di 493.500 dollari a carico di Freedom Financial Asset Management. Separatamente, 20 milioni di dollari sono stati collocati in un conto segregato destinato a rimborsare i consumatori danneggiati; nel comunicato l'FDIC precisa che l'importo definitivo della restituzione non era ancora stato determinato. Entrambe le società hanno sottoscritto i rispettivi consent order senza ammettere né negare le violazioni. COME LO CONTIAMO. Lo consideriamo un caso chiuso: il procedimento si è concluso con la definizione, le sanzioni sono state irrogate e il fondo per i rimborsi è stato costituito. Quello che non risulta da alcun documento pubblico che abbiamo trovato è l'importo finale effettivamente distribuito ai consumatori: lo scriviamo perché un fondo accantonato e un rimborso incassato non sono la stessa cosa, e qui l'unica delle due ad essere documentata è la prima. PERCHÉ RESTA IN SCHEDA OTTO ANNI DOPO. Non per fare la conta dei precedenti, ma perché è lo stesso schema del provvedimento del 2023: una banca che presta attraverso un partner terzo e risponde di come quel partner tratta i clienti finali. Su una scheda che serve a chi valuta Cross River proprio come infrastruttura per conto di altri, i due fatti si leggono insieme.

Ultime informazioni verificate

Il giorno di Natale del 2016 un attaccante ha attivato un nuovo numero di telefono sull'account Verizon protetto da PIN del fondatore di KeepKey, Darin Stanchfield, e ha usato quel numero per farsi mandare il recupero dell'email. Da lì ha iniziato a resettare le password dei servizi collegati a quella casella, incluso l'account Twitter dell'azienda, e ha raggiunto un canale di distribuzione delle vendite, i servizi del fornitore usato per spedizioni e logistica e un account di email marketing. I dati potenzialmente sottratti sono quelli dei clienti: indirizzi fisici, email e numeri di telefono. L'azienda ha comunicato pubblicamente l'episodio il 2 gennaio 2017. Due cose dette esplicitamente dal fondatore: «i computer, i server e la rete di KeepKey non sono mai stati compromessi» e «i fondi conservati sugli hardware wallet non sono mai stati a rischio» — il dispositivo custodisce le chiavi offline e l'azienda non conserva i saldi dei clienti. Il risvolto meno comune: l'attaccante ha telefonato a un ingegnere dell'azienda offrendo, in cambio di 30 bitcoin, di spiegare come fosse entrato, di dire quali dati avesse preso, di distruggerli, di restituire gli account e di tenere la cosa riservata. Stanchfield ha scelto la strada opposta — ha reso pubblico l'episodio con un post su Reddit e ha messo una taglia di 30 bitcoin per l'arresto dell'attaccante. ⚠️ La voce è in scheda perché resta l'unico incidente documentato e datato del servizio, non perché abbia messo in pericolo le chiavi: è vecchio di dieci anni, riguarda dati di contatto e non fondi, ed è classificato come minore proprio per questo. Dà però la misura del rischio che in questo settore non si chiude mai: chi aveva comprato un hardware wallet si è trovato il proprio indirizzo di casa, abbinato al fatto di possedere criptovalute, potenzialmente in mano a un estraneo.

Ultime informazioni verificate

Il **2 agosto 2016** da Bitfinex, allora con sede a Hong Kong, escono **119.756 bitcoin**: circa **72 milioni di dollari** al cambio del momento, scesi a ~58 milioni nel giro di poche ore perché la notizia fece cadere il prezzo del bitcoin di circa il 20%. Il dettaglio che rende il caso una lezione di settore: l'exchange usava il **multifirma di BitGo**, e non è servito — circa **2.000 transazioni regolarmente approvate** sono state dirottate verso un unico wallet. Bitfinex bloccò prelievi e contrattazioni. **La decisione che ha fatto scuola, in negativo: la perdita è stata socializzata.** Non l'hanno pagata i conti colpiti: **tutti i clienti, compresi quelli che non avevano perso un satoshi, si sono visti tagliare il 36% del saldo**, ricevendo in cambio **token BFX** proporzionali alla decurtazione, convertibili in azioni di **iFinex** (la controllante) oppure da riscattare. Su quel fronte Bitfinex ha chiuso: **tutti i BFX sono stati riscattati entro otto mesi** dall'avvio del piano, e questo è il motivo per cui gli utenti dell'epoca risultano risarciti — ma lo sono stati con uno strumento finanziario emesso dalla stessa società, non con i loro bitcoin. **Il seguito giudiziario, che è ancora aperto.** Nel **febbraio 2022** le autorità statunitensi arrestano **Ilya Lichtenstein** e **Heather Morgan** e recuperano bitcoin per un valore, allora, di **3,6 miliardi di dollari**, entrando in un archivio cloud cifrato che conteneva indirizzi e chiavi private; i fondi erano transitati da AlphaBay al mercato russo Hydra a partire dall'inizio del 2017. **Agosto 2023**: Lichtenstein ammette di aver condotto l'attacco e si dichiara colpevole di associazione per riciclaggio; Morgan si dichiara colpevole di riciclaggio e associazione. **Novembre 2024**: condannati rispettivamente a **60 e 18 mesi** di reclusione. ⚠️ **E qui sta la ragione per cui `risolto` è `false` a dieci anni di distanza.** I bitcoin recuperati **non sono tornati a Bitfinex**. A **marzo 2025** il Dipartimento di Giustizia ha *raccomandato* la restituzione di oltre **100.000 bitcoin**, ma l'iniziativa della riserva strategica di bitcoin dell'amministrazione statunitense ha fatto nascere pretese concorrenti sugli asset sequestrati; nel **luglio 2023** ai titolari dei **Recovery Right Token** sono stati distribuiti circa **315.000 dollari**, una frazione minima. Una raccomandazione non è una restituzione, e `in_corso` è `false` perché nulla si sta muovendo in questo momento: il caso è **aperto**, non in emergenza. In `importo_usd` è stata messa la valutazione al momento del furto (72 milioni); gli stessi bitcoin valgono oggi ordini di grandezza in più, ed è la ragione per cui la cifra del sequestro del 2022 (3,6 miliardi) non va confusa con la perdita.

Ultime informazioni verificate

Il **4 gennaio 2015** vengono sottratti **meno di 19.000 bitcoin** dai **wallet operativi** di Bitstamp — circa **5,1 milioni di dollari** al cambio di allora. L'exchange sospende il servizio il **5 gennaio alle 09:00 UTC** e riapre **quasi una settimana dopo**. La posizione ufficiale è dell'amministratore delegato **Nejc Kodrič**, ed è la parte che conta per l'utente: la violazione «rappresenta una piccola frazione delle riserve totali di bitcoin di Bitstamp», tenute in **cold storage offline**, e i bitcoin dei clienti detenuti prima della sospensione «sono completamente al sicuro e saranno **onorati per intero**». Così è stato: la perdita è rimasta a carico dell'azienda, che ha coperto l'ammanco con le riserve, e **nessun cliente ha subito un taglio del saldo** — l'opposto esatto di quello che Bitfinex avrebbe fatto un anno e mezzo dopo socializzando la perdita sui conti. ⚠️ **Il vettore dell'attacco non è mai stato confermato dall'azienda** e qui non viene affermato: circolarono ricostruzioni su una compromissione mirata via ingegneria sociale, ma Bitstamp non le ha mai fatte proprie e in scheda non entrano. Ciò che l'azienda ha dichiarato è di aver collaborato con le autorità nell'indagine. **Nessuna fonte primaria consultabile oggi documenta l'identificazione dei responsabili o il recupero dei fondi**, nonostante il contrario sia ripetuto da ricostruzioni di seconda mano: quel passaggio resta non verificato. `risolto: true` perché la cosa che doveva chiudersi per gli utenti si è chiusa, e in modo verificabile: saldi integri, servizio ripristinato, perdita assorbita dall'azienda. Resta aperto solo il versante penale, che non incide sul cliente.

Ultime informazioni verificate

Con il provvedimento n. 25058 del 1° agosto 2014 (caso PS7061), l'Autorità garante della concorrenza e del mercato ha accertato che fra l'ottobre 2011 e il giugno 2014 Fiditalia ha messo in atto una pratica commerciale aggressiva su due fronti: solleciti di pagamento dai toni intimidatori inviati anche per crediti contestati, e ostacoli frapposti all'esercizio dei diritti contrattuali — fra gli esempi agli atti, un cliente che per ottenere il conteggio estintivo ha dovuto inoltrare tre richieste scritte e numerosi solleciti telefonici. È la stessa società a dichiarare che 63.045 solleciti si sono rivelati ingiustificati, spiegandoli col fatto che il primo avviso parte 15 giorni prima della scadenza contrattuale; 3.881 clienti hanno presentato reclamo. L'Autorità ha vietato la pratica e fissato la sanzione base a 190.000 €, portandola a 230.000 € perché Fiditalia era già destinataria di altri due provvedimenti per il Codice del Consumo (n. 21255 del 2010 sulle condizioni di finanziamento e n. 22450 del 2011 sulla carta Eureka), e riportandola infine a 190.000 € in considerazione del bilancio in perdita. Alla data della decisione la pratica risultava ancora in corso. Non risulta pubblica la relazione di ottemperanza che il provvedimento imponeva entro sessanta giorni, né l'esito di un eventuale ricorso: per questo il caso resta classificato come aperto.

Ultime informazioni verificate

Con il provvedimento n. 25058 del 1° agosto 2014 (caso PS7061), l'Autorità garante della concorrenza e del mercato ha accertato che fra l'ottobre 2011 e il giugno 2014 Fiditalia ha messo in atto una pratica commerciale aggressiva su due fronti: solleciti di pagamento dai toni intimidatori inviati anche per crediti contestati, e ostacoli frapposti all'esercizio dei diritti contrattuali — fra gli esempi agli atti, un cliente che per ottenere il conteggio estintivo ha dovuto inoltrare tre richieste scritte e numerosi solleciti telefonici. È la stessa società a dichiarare che 63.045 solleciti si sono rivelati ingiustificati, spiegandoli col fatto che il primo avviso parte 15 giorni prima della scadenza contrattuale; 3.881 clienti hanno presentato reclamo. L'Autorità ha vietato la pratica e fissato la sanzione base a 190.000 €, portandola a 230.000 € perché Fiditalia era già destinataria di altri due provvedimenti per il Codice del Consumo (n. 21255 del 2010 sulle condizioni di finanziamento e n. 22450 del 2011 sulla carta Eureka), e riportandola infine a 190.000 € in considerazione del bilancio in perdita. Alla data della decisione la pratica risultava ancora in corso. Non risulta pubblica la relazione di ottemperanza che il provvedimento imponeva entro sessanta giorni, né l'esito di un eventuale ricorso: per questo il caso resta classificato come aperto.

Ultime informazioni verificate

Con il provvedimento n. 25058 del 1° agosto 2014 (caso PS7061), l'Autorità garante della concorrenza e del mercato ha accertato che fra l'ottobre 2011 e il giugno 2014 Fiditalia ha messo in atto una pratica commerciale aggressiva su due fronti: solleciti di pagamento dai toni intimidatori inviati anche per crediti contestati, e ostacoli frapposti all'esercizio dei diritti contrattuali — fra gli esempi agli atti, un cliente che per ottenere il conteggio estintivo ha dovuto inoltrare tre richieste scritte e numerosi solleciti telefonici. È la stessa società a dichiarare che 63.045 solleciti si sono rivelati ingiustificati, spiegandoli col fatto che il primo avviso parte 15 giorni prima della scadenza contrattuale; 3.881 clienti hanno presentato reclamo. L'Autorità ha vietato la pratica e fissato la sanzione base a 190.000 €, portandola a 230.000 € perché Fiditalia era già destinataria di altri due provvedimenti per il Codice del Consumo (n. 21255 del 2010 sulle condizioni di finanziamento e n. 22450 del 2011 sulla carta Eureka), e riportandola infine a 190.000 € in considerazione del bilancio in perdita. Alla data della decisione la pratica risultava ancora in corso. Non risulta pubblica la relazione di ottemperanza che il provvedimento imponeva entro sessanta giorni, né l'esito di un eventuale ricorso: per questo il caso resta classificato come aperto.

Ultime informazioni verificate

Con decreto del 20/07/2010, su proposta della Banca d'Italia, il Ministro dell'Economia ha sciolto gli organi di amministrazione e controllo del Credito di Romagna S.p.A. e l'ha sottoposto ad amministrazione straordinaria per gravi irregolarità (art. 70, c. 1, lett. a TUB). Il 23/07/2010 la Banca d'Italia ha nominato il commissario straordinario e il comitato di sorveglianza. Le fonti lette non parlano di sospensione dei pagamenti né di perdite per i depositanti. La procedura risulta chiusa, perché in seguito la banca è tornata ad avere organi ordinari. Non è stato possibile verificare su fonte ufficiale la data esatta di chiusura.