Web3 老尘
Web3 老尘
2017年入圈，经历了各种起起伏伏活到了现在，不认命，但认输
37Segui già
88follower
Feed
Livestream
Feed
Questo incidente di sicurezza di Binance presenta un dettaglio tecnico particolarmente degno di studio.
Binance ha dichiarato ufficialmente che al momento non ci sono prove di una fuga delle chiavi private del wallet.
Tuttavia, l'indagine on-chain di TRM Labs ha rilevato che gli aggressori hanno utilizzato il meccanismo di autorizzazione EIP-7702 su Ethereum.
In termini semplici, EIP-7702 consente a un wallet normale di autorizzare l'esecuzione di codice specifico di smart contract.
Gli aggressori hanno sfruttato questa autorizzazione per far eseguire a un wallet hot di Binance una logica di trasferimento controllata da loro.
TRM ha inoltre scoperto che gli aggressori avevano preparato in anticipo 50 autorizzazioni firmate e hanno effettuato trasferimenti di fondi su altre nove blockchain.
Questo evidenzia un problema molto importante:
Il fatto che la chiave privata non sia stata estratta direttamente non significa che il sistema di firma delle transazioni sia necessariamente sicuro.
Se un aggressore può indurre o manipolare il sistema a generare autorizzazioni valide, può comunque causare danni gravi.
Tuttavia, non si può ancora affermare che EIP-7702 abbia una vulnerabilità intrinseca.
È solo un meccanismo di esecuzione utilizzato in questa attacco su Ethereum.
La causa fondamentale reale dovrà essere chiarita con una revisione tecnica completa da parte di Binance.
Ritengo che questo evento meriti una riflessione da parte di tutti i wallet e gli exchange:
La sicurezza non consiste solo nel conservare bene le chiavi private, ma anche nel limitare quali operazioni il sistema di firma può autorizzare.
Fonte: indagine on-chain di TRM Labs · specifica ufficiale EIP-7702
L'evento di sicurezza avvenuto oggi su Binance potrebbe essere il furto più grande nella storia del settore delle criptovalute.
Binance ha rivelato preliminarmente che gli asset coinvolti ammontano a circa 6,3 miliardi di dollari, di cui circa 3 miliardi sono già stati congelati on-chain.
Tuttavia, ritengo che il percorso iniziale dell'intrusione sia più degno di attenzione rispetto all'importo.
Binance afferma che l'attaccante potrebbe aver prima compromesso il laptop di un ingegnere DevOps, per poi accedere ai container dei servizi interni e inviare transazioni di prelievo non autorizzate.
Al momento non ci sono prove di una fuga delle chiavi private dei wallet, e l'indagine completa non è ancora terminata.
Ciò significa che, anche se le chiavi private non sono state compromesse, i permessi operativi del sistema interno e i processi di autorizzazione delle transazioni potrebbero rappresentare punti deboli estremamente pericolosi.
Un'altra questione che merita studio è: perché quasi la metà degli asset crittografici già trasferiti è stata rapidamente congelata?
Perché gli emittenti di alcuni asset come USDT e USDC hanno la capacità di congelare i token correlati.
Questa capacità può impedire ulteriori spostamenti di fondi in caso di furti importanti, ma indica anche che alcuni asset on-chain non sono completamente privi di controllo da parte degli emittenti.
Binance si impegna a coprire le perdite tramite il fondo SAFU e i fondi aziendali, ma quanto sarà recuperato alla fine e qual è la perdita netta effettiva dovrà essere verificato successivamente.
Chainlink ha lanciato ufficialmente Chainlink 24/7 ieri, con Aave come partner di lancio.
Il problema risolto questa volta è piuttosto concreto: il mercato azionario statunitense è chiuso nel weekend, ma il prestito garantito da azioni tokenizzate sulla blockchain necessita comunque di un riferimento di prezzo.
Chainlink ora fornisce prezzi continui combinando i dati delle sessioni di trading tradizionali con le quotazioni del mercato dei derivati durante i periodi di chiusura.
Aave sta adottando questo servizio sulla piattaforma di prestito istituzionale Horizon.
Rispetto a una semplice dichiarazione di collaborazione, questa volta c'è almeno un prodotto chiaro, casi d'uso e un cliente di lancio. Ora resta da vedere la scala di adozione effettiva e le condizioni di tariffazione.
Le riserve di LINK di Chainlink hanno superato i 6 milioni di unità alla fine del terzo trimestre.
Il rapporto ufficiale rivela che nel Q3 sono stati aggiunti circa 1,54 milioni di LINK, con un totale detenuto di circa 6,0475 milioni alla fine del trimestre.
Questo merita più attenzione rispetto al semplice annuncio di una nuova collaborazione bancaria, poiché il meccanismo di riserva ha iniziato a collegare parte dei ricavi operativi all'accumulo di LINK.
Tuttavia, l'aumento delle riserve non significa distruzione né distribuzione di dividendi ai detentori.
La nuova Developer Analytics di Uniswap ha una funzione piuttosto utile.
Gli sviluppatori ora possono visualizzare direttamente il numero di richieste API, il tasso di errori, il volume degli Swap, e possono anche suddividere i dati per API Key e rete, esportandoli in CSV.
Per i wallet, gli strumenti di trading e altre applicazioni che si integrano con Uniswap, finalmente è più facile verificare se l'integrazione funziona correttamente e quanti scambi effettivamente genera.
I nomi delle azioni tokenizzate sembrano simili a quelli delle normali azioni statunitensi, ma ciò che possiedi effettivamente potrebbe essere molto diverso.
Consiglio di usare prima per trovare l'asset specifico, controllare la piattaforma di emissione, il tipo di tokenizzazione, l'asset sottostante e l'indirizzo del contratto.
Poi visita il sito ufficiale dell'emittente per consultare la descrizione del prodotto, concentrandoti su alcune parole chiave:
Ownership: possiedi i diritti sull'azione?
Voting Rights: hai diritto di voto?
Redemption: è possibile riscattare, a chi e con quali limitazioni?
Custody: chi detiene in custodia le azioni sottostanti?
Infine, verifica quali diritti hanno i detentori in caso di fallimento dell'emittente.
Ad esempio, xStocks dichiara ufficialmente un supporto 1:1 con le azioni, ma non offre diritti di voto agli azionisti. I Classic Stock Tokens di Robinhood Europa sono invece chiaramente contratti derivati.
Entrambi i prodotti espongono al prezzo delle azioni, ma hanno strutture legali differenti.
La SEC statunitense, nella comunicazione di gennaio 2026, distingue inoltre tra titoli tokenizzati custoditi e sintetici.
Strumenti:
Riferimento ufficiale:
Il settore delle azioni tokenizzate presenta un problema abbastanza facile da trascurare:
Se acquisti un token azionario di una certa società, potresti in realtà non essere un azionista di quella società.
I Classic Stock Tokens di Robinhood Europa sono essenzialmente contratti derivati che tracciano il prezzo delle azioni. L'azienda dichiara chiaramente che i detentori non possiedono le azioni sottostanti e non hanno diritti di voto corrispondenti.
xStocks rappresenta un altro modello.
Sostiene che ogni token è supportato 1:1 da azioni reali detenute da un custode. Tuttavia, gli utenti ricevono un certificato di tracciamento e non godono dei diritti di voto delle azioni sottostanti.
Ancora più interessante è la struttura diversa adottata dai titoli tokenizzati custoditi negli Stati Uniti lanciati da Ondo nel luglio 2026.
Le azioni sottostanti sono custodite da un ente regolamentato, i token rappresentano i diritti di sicurezza corrispondenti e Ondo afferma che i detentori possono partecipare al voto per delega tramite Broadridge.
Pur chiamandosi tutti Tokenized Stocks, le relazioni legali sottostanti potrebbero essere completamente diverse.
Uno offre esposizione al prezzo, un altro è supportato da azioni, un altro ancora cerca di portare direttamente i diritti di sicurezza tradizionali sulla blockchain.
Quindi ora penso che studiare gli RWA non possa limitarsi a guardare la dimensione degli asset e il volume degli scambi.
La questione più importante è: quali diritti legali corrispondono ai token? A chi appartengono gli asset sottostanti? Cosa possono rivendicare i detentori se l'emittente fallisce?
Questo potrebbe essere più importante del cosiddetto trading 24 ore su 24.
Questa è una ricerca basata sui documenti di prodotto pubblicati nel 2026, non un evento recente.
Uniswap ha recentemente compiuto due mosse opposte.
Il 26 ottobre ha annunciato ufficialmente l'imminente ingresso in Elysium, il nuovo L2 dell'ecosistema Hyperliquid, previsto per il lancio il 9 novembre.
Dall'altra parte, Uniswap ha annunciato che dal 28 ottobre cesserà il supporto per lo scambio sulla rete Blast.
Un ingresso, un'uscita.
Questo mi fa pensare che la competizione multi-catena stia entrando in una nuova fase: non è detto che il numero di catene implementate sia la cosa più importante, ma piuttosto quali ecosistemi riescano a generare una domanda di scambi sostenuta, potrebbe essere ciò che merita maggiore attenzione.
Il luogo più redditizio per le stablecoin potrebbe non essere le commissioni di trasferimento on-chain come molti pensano.
Circle ha recentemente reso pubblica una rendicontazione di USDC.
Nella prima metà del 2026, Circle ha registrato un fatturato di circa 1,4 miliardi di dollari. Di questi, circa 819 milioni di dollari sono stati destinati a partner di distribuzione e costi legati alle transazioni, circa 473 milioni di dollari sono stati investiti in operazioni e infrastrutture, lasciando infine un utile netto di circa il 7%.
Ancora più interessante è che exchange, wallet e piattaforme di pagamento non sono solo canali di utilizzo di USDC, ma potrebbero anche condividere i profitti generati dalle riserve in base al saldo di USDC che contribuiscono.
Questo spiega perché gli emittenti di stablecoin cercano sia di attrarre utenti sia di ottenere il supporto di exchange e wallet.
Per studiare le stablecoin non basta guardare solo al volume emesso e ai ricavi. La vera domanda da porsi è: chi porta questi fondi e chi si appropria dei profitti?
Fonte: Circle, articolo pubblicato il 16 ottobre 2026
