Nel mondo delle criptovalute, gli attacchi informatici che sottraggono fondi sono purtroppo frequenti, e spesso si somigliano. Ma la vicenda che ha coinvolto l'ecosistema Cosmos, uno dei più importanti progetti blockchain al mondo, è diversa e più grave, perché il problema non è tanto l'attacco in sé, quanto ciò che lo ha reso possibile. In un documento di analisi pubblicato dopo l'accaduto, la società che sviluppa il software ha ammesso di essere stata avvertita della vulnerabilità con quattro mesi di anticipo, giudicandola però erroneamente innocua.
Il risultato è stato un attacco che ha colpito sei diverse blockchain in pochi giorni, sottraendo circa 5,7 milioni di dollari. Ma la cifra, tutto sommato non enorme per gli standard del settore, è la parte meno interessante di questa storia. Ciò che la rende un caso da manuale è quello che rivela su una debolezza strutturale del modo in cui è costruito gran parte dell'universo crypto. Vediamo cosa è successo e perché dovrebbe far riflettere.
cosmos
Un errore di valutazione lungo quattro mesi
La cronologia è il cuore del problema. La vulnerabilità era stata segnalata correttamente alla società attraverso il suo programma di "taglie" per la sicurezza, quei sistemi che premiano i ricercatori che scovano falle, alla fine di aprile. A quel punto, però, gli ingegneri hanno commesso un errore di valutazione: ritenevano che il difetto potesse colpire solo un certo tipo di configurazione tecnica, diversa da quella usata dalle blockchain principali attive. Conclusero quindi che i fondi sulle reti reali non fossero a rischio.
Sulla base di questa convinzione, a maggio hanno inserito una correzione in modo "silenzioso", cioè senza avvertire gli operatori delle varie blockchain della gravità del problema, trattandolo come un aggiornamento di routine. Solo all'inizio di agosto, grazie al lavoro di altri ricercatori, ci si è resi conto che la valutazione iniziale era sbagliata e che la vulnerabilità colpiva molte più reti del previsto. A quel punto è partita la corsa contro il tempo per rilasciare una correzione pubblica, ma era ormai troppo tardi. La patch è arrivata il 19 agosto, e il primo attacco è partito poche ore dopo.
cosmos
Come funzionava l'attacco
Il meccanismo tecnico dell'exploit è tanto ingegnoso quanto istruttivo, e vale la pena capirlo perché smentisce un'idea comune. Molti pensano che questi attacchi consistano nel "creare dal nulla" quantità infinite di monete. Qui non è andata così. L'attaccante ha sfruttato un errore matematico noto come "integer underflow": in pratica, è riuscito a far scendere il saldo di un conto sotto lo zero. Invece di generare un errore e bloccarsi, il sistema, per come era programmato, interpretava quel valore negativo come il numero più grande possibile.
Da lì, sfruttando il meccanismo inverso, l'attaccante poteva trasferire a sé token che appartenevano ad altri conti. Il punto cruciale, spesso frainteso, è che la quantità totale di monete in circolazione è rimasta sostanzialmente invariata: non sono state create monete false, ma sono stati sottratti asset da conti bersaglio specifici, spesso indirizzi "dormienti" o portafogli tecnici. Nel caso della rete più colpita, ad esempio, sono stati spostati centinaia di milioni di token da un indirizzo di "distruzione" e da un vecchio portafoglio, senza che venissero compromesse le chiavi di sicurezza della rete. Una distinzione tecnica importante per capire la reale natura del danno.
Il caso Cosmos: cosa è andato storto
La cronologia dell'errore. Fonte: Cosmos Labs, The Block, 2026
- L'errore: il bug segnalato ad aprile è stato giudicato non pericoloso per le reti reali. Valutazione sbagliata.
- L'attacco: circa 5,7 milioni sottratti da sei blockchain tra il 20 e il 25 agosto, poche ore dopo la patch.
- Il problema vero: decine di chain condividono lo stesso software, quindi le stesse falle. Ma non un modo per aggiornarle tutte in fretta.
La polemica: venti ore non bastavano
Uno degli aspetti più controversi riguarda proprio la gestione finale della crisi. Quando è stata pubblicata la correzione, il 19 agosto, non è stata accompagnata da un avviso che spiegasse chiaramente la gravità e l'urgenza del problema. Poche ore dopo, un ricercatore esterno ha pubblicato online una descrizione dettagliata di come sfruttare la falla, fornendo di fatto una mappa agli aggressori. Il primo attacco è partito pochissime ore più tardi.
KiiChain
Le blockchain colpite hanno criticato aspramente questa gestione. Una di esse ha sottolineato che il brevissimo tempo intercorso non era realisticamente sufficiente per coordinare, testare e distribuire un aggiornamento così complesso, che richiede l'accordo di decine di validatori indipendenti, soprattutto in assenza di un avviso specifico che ne spiegasse l'urgenza. Un'altra rete è stata ancora più netta, sostenendo che la società avrebbe dovuto chiedere immediatamente alle reti interessate di fermare la produzione dei blocchi, l'unica mossa che avrebbe potuto prevenire i furti. Esiste anche una disputa tecnica ancora aperta: una delle reti colpite afferma che i difetti alla base dell'attacco fossero più di quelli corretti pubblicamente, una tesi che la società sviluppatrice, nel suo resoconto, non affronta direttamente. La ricostruzione delle responsabilità, insomma, è ancora oggetto di confronto tra le parti.
Il vero problema: la fragilità del modello multi-chain
Ed eccoci al punto che rende questa storia importante ben oltre il singolo caso, l'angolo che ogni osservatore attento dovrebbe cogliere. L'ecosistema Cosmos è costruito su un'idea potente: fornire un software comune che permette a chiunque di lanciare facilmente la propria blockchain, tutte interconnesse. È un modello di grande successo, ma questa vicenda ne ha rivelato il tallone d'Achille. Se decine, o addirittura centinaia, di blockchain diverse condividono lo stesso software di base, allora condividono anche le sue eventuali vulnerabilità.
Il problema è che, mentre il software è condiviso, non esiste un meccanismo centralizzato per aggiornare tutte queste reti contemporaneamente e con urgenza in caso di pericolo. Ogni blockchain è indipendente e deve applicare la correzione per conto proprio, un processo lento e complesso. Il dato più impressionante emerso dalla vicenda è che la stessa società sviluppatrice ha ammesso di non possedere nemmeno un elenco completo di tutte le reti che utilizzano il suo software: durante l'emergenza, ha scoperto l'esistenza di undici blockchain di cui ignorava l'esistenza. È come se il produttore di un componente difettoso montato su milioni di automobili non sapesse quali auto lo montano e non avesse un modo per richiamarle tutte. Una fragilità strutturale che va molto oltre il singolo errore umano. Non è un caso isolato: il tema della sicurezza e dei bug nascosti nel codice riguarda tutto il settore, come abbiamo visto con il bug rimasto nascosto per quattro anni in Zcash.
La lettura più grande
Il caso Cosmos è una lezione preziosa che va molto oltre il danno economico, tutto sommato contenuto. Ci ricorda che, nel mondo delle criptovalute, la sicurezza non dipende solo dalla robustezza del codice, ma anche, e forse soprattutto, dai processi umani e organizzativi con cui quel codice viene gestito, aggiornato e comunicato. Un errore di valutazione, una comunicazione poco chiara, l'assenza di una mappa completa dei sistemi da proteggere: sono questi fattori, più della singola falla tecnica, ad aver trasformato un problema noto in un danno reale.
Per l'osservatore, la lezione è duplice. Da un lato, questa vicenda invita a guardare con occhio più critico all'idea, molto diffusa, che poter lanciare facilmente tante blockchain interconnesse sia solo un vantaggio: la condivisione del codice porta con sé anche la condivisione dei rischi, e richiede meccanismi di sicurezza e coordinamento all'altezza, che spesso ancora mancano. Dall'altro, è un monito sulla trasparenza: il modo in cui un progetto reagisce a una crisi, ammettendo i propri errori e collaborando con le parti colpite, è tanto importante quanto la sua capacità di prevenirla. La sincerità del resoconto pubblicato da Cosmos è un passo nella giusta direzione, ma le critiche ricevute mostrano quanta strada ci sia ancora da fare perché l'ecosistema multi-chain diventi davvero sicuro e resiliente come promette di essere.
