L'11 giugno 2026, il bridge Syscoin ha coniato 5 miliardi di SYS dopo che una prova SPV malformata è sfuggita al parser di relay del bridge. La prova non ha superato la validazione che un parser più rigoroso avrebbe rifiutato, e il bridge ha emesso token a fronte di depositi mai effettuati. Gli hacker etici hanno coordinato il recupero e i fondi sono stati restituiti, ma il meccanismo è fondamentale: un bridge che conia valore "wrapped" su una blockchain a fronte di una prova proveniente da un'altra blockchain è sicuro solo quanto il parser che controlla tale prova.
In breve: una prova SPV malformata ha ingannato il relay bridge di Syscoin, inducendolo a coniare 5 miliardi di SYS l'11 giugno 2026. I fondi sono stati recuperati da hacker etici. Considerate la cifra di 5 miliardi di SYS come una stima preliminare fino a quando un'analisi post-mortem formale non la confermerà. Uno swap senza bridge non ha una prova da falsificare: le monete vengono instradate da un portafoglio all'altro, senza che nulla venga coniato o messo in pool nel mezzo.
Un bridge cross-chain è una coppia di contratti che blocca un asset su una blockchain e ne crea una rappresentazione su un'altra. La sua sicurezza si riduce a un unico quesito: è possibile falsificare il messaggio che attiva la creazione dell'asset?
Che fine ha fatto il ponte Syscoin?
Il bridge Syscoin accetta prove SPV (Simplified Payment Verification) per confermare che un deposito sia effettivamente avvenuto sulla blockchain di origine prima di coniare i token sulla blockchain di destinazione. L'11 giugno 2026, un hacker ha inviato una prova non valida che il parser del relay ha accettato anziché rifiutare. Il bridge ha quindi coniato 5 miliardi di SYS a fronte di depositi inesistenti.
L'errore non risiedeva nella crittografia, bensì nell'analisi sintattica: il relay si è fidato di una prova che avrebbe dovuto scartare. Non esisteva alcuna registrazione pubblica di audit per quel percorso di relay vulnerabile. Il team di Syscoin ha pubblicato le ricevute e coordinato un recupero etico, e i fondi coniati sono stati restituiti. Considerate la cifra di 5 miliardi di SYS come una stima preliminare fino a quando un'analisi post-mortem formale non la confermerà.
Si tratta di una tendenza ricorrente, non di un caso isolato. I bridge e i vault multisig che coniano, incapsulano o detengono valore aggregato rimangono la principale categoria di obiettivi nel mondo delle criptovalute. La classifica di rekt.news (consultata l'11/06/2026) tiene traccia delle maggiori perdite note: tra le voci più recenti figurano un prelievo di 10.7 milioni di dollari da THORChain il 21 maggio 2026 ( THORChain rekt postmortem , consultato l'11/06/2026) e una perdita di circa 3.98 milioni di dollari relativa a Gnosis Safe (secondo la classifica di rekt.news , consultata l'11/06/2026). Protocolli diversi, stessa lezione: il valore aggregato o incapsulato è un obiettivo costante per le falsificazioni.
Perché uno scambio senza bridge elimina la superficie di attacco
L'incidente Syscoin ha funzionato perché era necessario un bridge per dimostrare che un deposito era avvenuto su un'altra blockchain, e la prova è stata falsificata. Uno scambio di criptovalute senza bridge non ha una prova del genere da falsificare.
- Nessuna autorità di conio — Uno scambio non emette token incapsulati. Non esiste una funzione di conio che si attivi in caso di prova non valida.
- Nessun affidamento condiviso — I fondi non sono depositati in una cassaforte in attesa di essere verificati. Non c'è un saldo residuo da prelevare.
- Nessun analizzatore di relè da ingannare — Lo scambio instrada l'asset nativo da portafoglio a portafoglio. Non esiste un punto di controllo intermedio a prova di SPV a cui un aggressore possa fornire input errati.
GhostSwap è un exchange di criptovalute senza KYC (Know Your Customer): non è necessario un account, un'email o una registrazione. È non-custodial: i fondi transitano senza mai essere trattenuti. In questo contesto, non si tratta di uno slogan di marketing, bensì della ragione strutturale per cui non esiste un saldo comune che possa essere sfruttato da un exploit di tipo bridge per il mining di criptovalute.
Scambio bridge mint vs. non-custodial
| Caratteristica | Menta del ponte | GhostSwap (scambio senza custodia) |
|---|---|---|
| Gettoni confezionati emessi | Sì, le mentine rappresentano | No — risorsa nativa instradata attraverso |
| Affidamento condiviso | Sì, la cassaforte custodisce valori bloccati. | No, i fondi transitano, non vengono mai trattenuti. |
| Fase di verifica/relazione | Sì — Prova SPV verificata dal relè | Nessun ponte a prova di bomba sul percorso |
| Conto / KYC | Varia in base al servizio | Nessuna richiesta |
| Copertura patrimoniale | Limitato alle coppie a ponte | Oltre 1,600 coppie su più di 200 asset |
| Completamento tipico | Varie | ~8 minuti in media; ~30 minuti a p95 |
Il prezzo è a tasso variabile, calcolato sulla base della liquidità aggregata, quindi il tasso applicato è quello in vigore al momento dell'arrivo dei fondi, non al momento dell'operazione, e in genere rientra nello spread indicato.
Come sostituire un asset collegato senza un account
Se possiedi un token wrapped o bridged e desideri convertirlo in un asset nativo come Bitcoin o Monero, la procedura è breve:
- Scegli la coppia — scegli la tua risorsa di origine e la destinazione. Per passare a Monero, consulta il Pagina di scambio da BTC a XMR.
- Inserisci il tuo indirizzo di ricezione — e un indirizzo per i rimborsi. Nessun account, nessuna email, nessuna verifica dell'identità.
- Invia la risorsa sorgente — all'indirizzo di deposito indicato.
- I fondi si convertono — senza custodia, di transito; GhostSwap non li detiene mai.
- Ricevi la risorsa di destinazione — al tuo indirizzo, in genere in circa 8 minuti (fino a ~30 a p95).
Il widget per lo scambio in tempo reale si trova sulla homepage di GhostSwap . Il servizio offre oltre 1,600 coppie di valute in tempo reale, relative a più di 200 asset.
FAQ
D: Cosa ha causato la vulnerabilità del bridge Syscoin?
A: Una prova SPV malformata è sfuggita al parser del bridge relay l'11 giugno 2026, che ha poi coniato 5 miliardi di SYS a fronte di depositi inesistenti. L'errore è stato nell'analisi della prova, non nella crittografia. I fondi sono stati recuperati da hacker etici.
D: I fondi Syscoin sono stati recuperati?
A: Sì. Il team di Syscoin ha pubblicato le ricevute e ha coordinato un recupero "white hat", e i SYS coniati sono stati restituiti. Considerate la cifra di 5 miliardi di SYS come una stima preliminare finché un'analisi formale non la confermerà.
D: In che modo uno swap non custodiale evita gli exploit di tipo bridge?
A: Uno scambio senza bridge non emette token incapsulati, non detiene la custodia condivisa e non ha prove di relay da falsificare. L'asset nativo instrada da portafoglio a portafoglio, quindi non esiste una funzione di conio o un saldo del vault che un attaccante possa prendere di mira.
D: Ho bisogno di un account per fare scambi su GhostSwap?
R: No. Non è necessario alcun account, indirizzo email o verifica dell'identità per effettuare lo scambio. Devi fornire un indirizzo di ricezione e un indirizzo per il rimborso; i fondi vengono trasferiti senza custodia e non vengono mai trattenuti da GhostSwap.
Passa a una risorsa nativa senza un ponte
Se un bridge o un vault rappresentano la parte dello stack di cui non ti fidi più, uno scambio non custodiale rimuove completamente tale parte. Inizia dal widget di scambio di GhostSwap oppure vai direttamente alla pagina della coppia BTC/XMR.
GhostSwap non è un servizio finanziario registrato.
