Dove si decide davvero la sicurezza è stata la storia di questo fine settimana. Un bug di casualità scritto nel firmware di un cold wallet nel 2021 ha consegnato agli aggressori 1.367 Bitcoin cinque anni dopo, e il resto della giornata tocca lo stesso nervo: le scelte di progettazione silenziose sotto un prodotto decidono a cosa può sopravvivere.
- 4.585 indirizzi svuotati, e la falla di chiave di cinque anni dietro di essi continua a pagare
- Il CLARITY Act manca dal calendario del Senato con una settimana prima della pausa
- La Banca d'Italia ha misurato 200 trasferimenti in stablecoin e ha trovato il costo concentrato nei passaggi di conversione alle due estremità
- Due funzioni di XRP Ledger tornano dopo che i ricercatori di sicurezza le hanno violate
Ognuna di queste ruota attorno a qualcosa costruito molto prima di fare notizia. Una decisione sul firmware del 2021, un disegno di legge redatto per una camera che non lo ha messo in calendario, il passaggio di conversione alle due estremità di un trasferimento e un emendamento ritirato dopo che qualcuno ha trovato il buco.
Una falla di chiave di cinque anni ha svuotato 4.585 wallet Bitcoin
Fonte: Decrypt
Galaxy Research afferma che sono stati ormai sottratti circa 88,6 milioni di $ in Bitcoin da wallet creati con il firmware Coldcard rilasciato a marzo 2021, che generava seed phrase con una casualità troppo scarsa e lasciava indovinabili le chiavi private risultanti. Il conteggio è di 1.367 BTC su 4.585 indirizzi in tre ondate, l'ultima delle quali ha prelevato 207,73 BTC.
Alex Thorn, che guida il team che lo monitora, descrive i prelievi come deliberati e programmatici, e ha segnalato circa 600 presunti indirizzi di aggressori a investigatori federali e società di conformità. Le monete sono rimaste ferme in media per 3,18 anni prima di muoversi. L'indicazione di Thorn a chiunque detenga ancora Bitcoin su un indirizzo interessato è di spostarlo immediatamente.
Il punto di vista di Zypto: La casualità nel momento in cui viene creato un wallet sta a monte di ogni protezione aggiunta in seguito, ed è ciò che rende questo caso così difficile da difendere col senno di poi. Chiediti come sono state generate le tue chiavi, e continua a chiederlo a qualsiasi wallet in autocustodia a cui le affidi.
Il CLARITY Act manca dal calendario del Senato
Fonte: CryptoSlate
Il Digital Asset Market Clarity Act, approvato dalla Camera come H.R. 3633, non compare nel calendario dell'aula del Senato per lunedì, che elenca un voto su un disegno di legge di spesa e nient'altro. Nessuna richiesta di cloture risultava inserita nel registro del Senato fino al 31 luglio.
L'aritmetica è stretta. Una richiesta di cloture entro mercoledì potrebbe sostenere un voto venerdì, e il Senato va in pausa il 10 agosto.
Sette negoziatori democratici hanno detto che la bozza attuale non basta, impegnandosi a continuare a parlare, la senatrice Elizabeth Warren si oppone al testo rivisto e il leader della maggioranza Thune ha detto che un voto procedurale prima della pausa avviene solo se compare abbastanza sostegno democratico.
Il punto di vista di Zypto: Le regole sulla struttura del mercato colpiscono più duramente le aziende che decidono se accettare cripto alla cassa, e quelle che già lo fanno hanno smesso di aspettare un disegno di legge. Zypto Pay regola oggi i pagamenti degli esercenti in fiat o in oltre 100 criptovalute, con commissioni di elaborazione lato esercente a partire dallo 0%.
La Banca d'Italia ha misurato 200 trasferimenti in stablecoin
Fonte: CoinDesk
I ricercatori della Banca d'Italia hanno inviato 200 trasferimenti USDC su dieci corridoi bidirezionali che collegano l'Italia a Brasile, Argentina, Giappone, Emirati Arabi Uniti e Sudafrica, e hanno rilevato costi compresi tra lo 0,3% e quasi il 9%. Meglio della media globale della Banca Mondiale del 6,65%, anche se le stablecoin sono risultate più convenienti di Wise solo in tre dei sette corridoi in cui i due potevano essere confrontati.
Il costo era concentrato ai margini. Le commissioni di cambio e di conversione valutaria ne costituivano la maggior parte, mentre le commissioni blockchain erano una piccola quota. I trasferimenti si sono regolati in meno di 20 minuti dove esisteva un sistema di pagamento istantaneo, e hanno richiesto da uno a due giorni lavorativi dove non esisteva.
I ricercatori hanno aggiunto la frase che vale la pena rileggere due volte: se le stablecoin potessero essere spese direttamente per beni, affitto o rette scolastiche senza essere riconvertite in valuta locale, il vantaggio economico sarebbe sostanzialmente maggiore.
Il punto di vista di Zypto: Quell'ultima frase descrive un prodotto, non un'ipotesi. Pagare le bollette con le cripto raggiunge oltre 87.000 emittenti di bollette in 126 Paesi direttamente da un wallet, senza conto bancario e senza off-ramp manuale nel mezzo.
Due funzioni di XRP Ledger tornano dopo che i ricercatori le hanno violate
Fonte: CoinDesk
La versione 3.3.0 di xrpld è attesa questa settimana con cinque emendamenti proposti, ciascuno dei quali richiede l'approvazione dell'80% dei validatori per due settimane consecutive. Due sono di ritorno dopo essere stati ritirati per bug di sicurezza.
Batch permette di eseguire in modo atomico fino a otto transazioni tra account diversi, così o arrivano tutte o nessuna. I validatori lo hanno respinto e una release di emergenza lo ha contrassegnato come non supportato dopo che Pranamya Keshkamat e la società Cantina hanno trovato a febbraio 2026 una falla nella validazione delle firme che avrebbe permesso a un aggressore di eseguire transazioni da qualsiasi account senza possederne le chiavi.
Permission Delegation, che concede un'autorità di firma strettamente circoscritta senza cedere il controllo completo, è stata disabilitata dopo che una segnalazione di settembre 2025 ha mostrato che un account poteva addebitare commissioni a un altro e potenzialmente svuotarne il saldo. Confidential MPT, Sponsored Fees and Reserves e Dynamic MPT completano la scheda di voto.
Il punto di vista di Zypto: Una chain disposta a ritirare una propria funzione, a confrontarsi con il problema e a riproporla sta svolgendo bene la parte poco appariscente del lavoro. XRPL è una delle oltre 20 chain nella Zypto App, e la firma delegata è esattamente il tipo di primitiva che fa funzionare i flussi di pagamento aziendali senza che nessuno ceda le proprie chiavi.
Punti chiave
- La sicurezza si decide nel momento della creazione. Tutto ciò che viene dopo misura il danno anziché prevenirlo.
- I calendari legislativi si muovono più lentamente dell'adozione, e le aziende che accettano cripto hanno già smesso di aspettarli.
- Spostare denaro on-chain ha in gran parte smesso di essere un costo di chain ed è diventato un costo di conversione.
- Le chain che si guadagnano fiducia sono quelle disposte a ritirare una funzione, correggerla e riprovare in pubblico.
- Osserva il passaggio di conversione. Chi lo elimina dalla spesa quotidiana raccoglie i risparmi che questi studi continuano a trovare ai margini.
Argomenti correlati
