Un grave incidente tecnico ha colpito il protocollo Aave, uno dei principali progetti della finanza decentralizzata, provocando liquidazioni per circa 23,8 milioni di euro in posizioni legate al token wstETH. L’evento è stato causato da una misconfigurazione dell’oracle di prezzo, che ha temporaneamente sottovalutato l’asset e attivato automaticamente il meccanismo di liquidazione per decine di account. Nello stesso periodo il settore DeFi ha registrato un secondo incidente significativo: la piattaforma Bonk.fun, costruita sulla blockchain Solana, è stata compromessa da un attacco informatico che ha attivato un drainer wallet sul sito ufficiale. Questi episodi dimostrano come il mondo della finanza decentralizzata continui a essere esposto sia a errori tecnici interni ai protocolli sia a attacchi informatici mirati, aumentando il rischio per gli investitori che operano nei mercati crypto.
Cosa leggere
Errore oracle su Aave provoca liquidazioni milionarie
L’incidente su Aave si è verificato il 10 marzo 2026 quando una configurazione errata nel sistema Collateral Asset Price Oracle (CAPO) ha generato un prezzo artificialmente basso per il token wstETH, una versione tokenizzata di Ethereum utilizzata come collaterale nel protocollo. La sottovalutazione ha raggiunto circa il 2,85% rispetto al prezzo reale di mercato, un margine apparentemente ridotto ma sufficiente per far scattare automaticamente il sistema di liquidazioni del protocollo. Quando il valore del collaterale scende sotto determinate soglie, il sistema DeFi avvia infatti liquidazioni automatiche per garantire la solvibilità del protocollo. A causa di questo errore circa 10.938 wstETH sono stati liquidati coinvolgendo 34 account che utilizzavano posizioni leverage. Le liquidazioni hanno generato perdite complessive stimate intorno ai 23,8 milioni di euro.
Il mismatch nel sistema CAPO all’origine del problema
L’analisi pubblicata dagli sviluppatori e dal team di ricerca Chaos Labs ha identificato la causa dell’incidente in un mismatch tra componenti off-chain e on-chain del sistema CAPO. Il componente off-chain aggiornava il cosiddetto ratio snapshot riflettendo il tasso di conversione reale di wstETH relativo a sette giorni precedenti. Tuttavia il sistema on-chain prevedeva un limite tecnico che consentiva un incremento massimo del ratio del 3% ogni tre giorni. Questo limite ha impedito l’aggiornamento completo del parametro, mentre il timestamp del sistema indicava invece un aggiornamento completo dei sette giorni. La combinazione di questi due fattori ha prodotto una formula che ha calcolato un prezzo oracle inferiore al valore reale dell’asset. Il risultato è stato un abbassamento artificiale del prezzo del collaterale, che ha fatto apparire diverse posizioni come sotto-collateralizzate anche se in realtà non lo erano.
Liquidatori guadagnano 499 ETH mentre il protocollo resta solvente
Le liquidazioni sono state eseguite rapidamente da operatori esterni specializzati nel monitoraggio delle opportunità DeFi. I liquidatori hanno generato circa 499 ETH di profitto tra bonus di liquidazione e differenze di prezzo. Nonostante l’errore tecnico, Aave è riuscito a evitare qualsiasi forma di bad debt, mantenendo il protocollo solvente. Il sistema di liquidazione ha funzionato come previsto dal punto di vista della sicurezza del protocollo, anche se ha colpito utenti che non avrebbero dovuto essere liquidati. Il team Aave ha reagito rapidamente riducendo i borrow caps, correggendo la configurazione dell’oracle e ristabilendo il prezzo corretto del collaterale.
Aave prepara compensazioni per gli utenti colpiti
Dopo l’incidente il protocollo ha iniziato a recuperare fondi per compensare parzialmente gli utenti colpiti. Sono stati recuperati circa 141 ETH tramite rimborsi BuilderNet e ulteriori 13 ETH provenienti dalle fee di liquidazione. Se necessario il tesoro della DAO di Aave coprirà eventuali deficit per garantire rimborsi agli utenti coinvolti. Questo approccio riflette la volontà del protocollo di preservare la fiducia nella piattaforma e dimostra come la governance decentralizzata possa intervenire per mitigare eventi imprevisti. L’episodio evidenzia però anche la fragilità dei sistemi DeFi che dipendono fortemente da oracles di prezzo accurati per determinare il valore delle garanzie.
Bonk.fun compromessa da hacker con drainer wallet
Parallelamente all’incidente Aave, il settore crypto ha registrato un nuovo problema di sicurezza sulla piattaforma Bonk.fun, un servizio basato su Solana progettato per permettere la creazione rapida di token meme. Il 12 marzo 2026 il team ha annunciato che il dominio del sito era stato compromesso da un attore malintenzionato che aveva preso il controllo di un account interno. L’hacker ha quindi distribuito un drainer wallet, uno strumento utilizzato per svuotare automaticamente i portafogli degli utenti che interagiscono con il sito compromesso. Il team di Bonk.fun ha immediatamente invitato gli utenti a non interagire con la piattaforma, revocare le autorizzazioni dei wallet e trasferire i propri asset su indirizzi sicuri.
Bonk.fun e l’ecosistema meme coin su Solana
La piattaforma Bonk.fun era stata lanciata nell’aprile 2025 dalla community del token BONK in collaborazione con l’exchange decentralizzato Raydium. Il servizio consente agli utenti di creare nuovi token senza conoscenze di programmazione utilizzando curve di bonding logaritmiche dinamiche.Questa semplicità ha contribuito alla diffusione di numerose meme coin nell’ecosistema Solana, ma ha anche attirato l’attenzione degli hacker che spesso sfruttano siti compromessi o phishing per rubare fondi agli utenti. Il team di Bonk.fun sta attualmente indagando sull’incidente e lavorando al recupero del dominio, mentre la comunità Solana monitora la situazione per valutare eventuali impatti sull’ecosistema.
Sicurezza DeFi sotto pressione tra errori tecnici e attacchi hacker
Gli incidenti che hanno colpito Aave e Bonk.fun mostrano due tipi di vulnerabilità molto diverse ma ugualmente pericolose per l’ecosistema crypto. Nel caso di Aave il problema è nato da un errore tecnico interno al protocollo, dimostrando quanto siano delicati i sistemi di oracles utilizzati per determinare i prezzi degli asset. Nel caso di Bonk.fun invece si tratta di un attacco informatico tradizionale, basato sul controllo di un dominio e sull’utilizzo di wallet drainer. Entrambi gli episodi evidenziano come la crescita della finanza decentralizzata richieda standard di sicurezza sempre più elevati, audit costanti e maggiore consapevolezza da parte degli utenti.
Un settore ancora giovane ma in continua evoluzione
La DeFi continua a crescere rapidamente, attirando capitali e sviluppatori da tutto il mondo. Tuttavia episodi come questi dimostrano che il settore è ancora in una fase di maturazione. Protocolli come Aave stanno investendo sempre di più in audit di sicurezza, bug bounty e sistemi di monitoraggio avanzati, mentre gli utenti adottano strumenti come wallet hardware e configurazioni multi-signature per proteggere i propri asset. La combinazione di innovazione tecnologica e gestione del rischio sarà determinante per garantire la sostenibilità a lungo termine dell’ecosistema crypto.
Iscriviti alla Newsletter
Non perdere le analisi settimanali: Entra nella Matrice Digitale.
Matrice Digitale partecipa al Programma Affiliazione Amazon EU. In qualità di Affiliato Amazon, ricevo un guadagno dagli acquisti idonei. Questo non influenza i prezzi per te.
