5 min
Il network di Cardano (ADA) ha vissuto il 21 novembre la sua prima scissione della blockchain in otto anni di operatività, un evento che ha scosso l'ecosistema crypto e sollevato interrogativi sulla sicurezza dei protocolli layer-1 maturi. Un bug di deserializzazione presente nel codice dal 2022 è stato sfruttato attraverso una transazione di delega malformata, causando la frammentazione temporanea della blockchain da 14 miliardi di dollari in due catene concorrenti. L'incidente ha portato alla sospensione dei depositi e prelievi di ADA sui principali exchange centralizzati, con Coinbase che ha registrato il blocco più lungo di circa 14 ore, mentre il prezzo del token è crollato fino al 16% prima di un parziale recupero.
La dinamica tecnica dell'exploit rivela una vulnerabilità critica nella gestione delle versioni dei nodi di Cardano. La transazione anomala è riuscita a bypassare i controlli di validazione sulle versioni più recenti del software, mentre veniva correttamente rifiutata dall'infrastruttura legacy, creando stati del ledger incompatibili attraverso la rete. Secondo il report di Intersect, organizzazione dell'ecosistema Cardano, l'anomalia rispecchiava da vicino un problema osservato sulla testnet appena un giorno prima, suggerendo che l'exploit fosse stato testato in anticipo prima di essere lanciato sulla mainnet.
La produzione di blocchi è tecnicamente continuata su entrambe le catene durante l'incidente, con almeno alcune transazioni identiche che apparivano su entrambi i fork. Tuttavia, l'impatto pratico per gli utenti è stato significativo: i block explorer si sono bloccati o hanno visualizzato informazioni contrastanti, mentre i protocolli DeFi hanno sperimentato stati inconsistenti attraverso la scissione. Le interazioni con gli smart contract potevano eseguirsi su una chain mentre le transazioni correlate atterravano sull'altra, un incubo operativo per qualsiasi applicazione decentralizzata.
Input Output Global (IOG), la Cardano Foundation, Intersect ed EMURGO hanno coordinato una risposta d'emergenza, implementando patch correttive entro tre ore dal rilevamento del problema. Il network ha raggiunto la convergenza attraverso il consenso naturale entro il 22 novembre, dimostrando la resilienza del meccanismo di consenso Ouroboros nonostante la gravità dell'incidente. ADA attualmente scambia intorno a 0,41 dollari dopo il recupero parziale dalla caduta iniziale.
L'identità del responsabile è emersa rapidamente quando l'utente X "Homer J" ha pubblicamente confessato di aver causato la chain split, descrivendo le proprie azioni come un incidente di testing "negligente". "È iniziato come una sfida personale per vedere se potevo riprodurre la transazione dannosa, poi sono stato abbastanza stupido da affidarmi alle istruzioni dell'AI su come bloccare tutto il traffico in entrata/uscita dal mio server Linux senza testarlo prima sulla testnet", ha scritto Homer J, dichiarando di assumersi la piena responsabilità della propria negligenza.
La risposta del founder Charles Hoskinson ha rapidamente intensificato la situazione. Definendo l'accaduto un "attacco premeditato", Hoskinson ha affermato su X che "era assolutamente personale e ora sta cercando di fare marcia indietro perché sa che l'FBI è già coinvolto". Un fact sheet circolato da Intersect e Hoskinson conferma che le autorità competenti e le forze dell'ordine sono state notificate riguardo alle azioni dello sviluppatore, un'escalation che ha diviso la community crypto tra chi supporta l'azione legale e chi la considera eccessiva per quello che potrebbe essere stato un errore di testing.
Il coinvolgimento dell'FBI ha provocato conseguenze inattese all'interno del team di sviluppo stesso. L'utente X "effectfully", identificato come Roman, uno sviluppatore del linguaggio Plutus presso IOG, ha pubblicamente annunciato le proprie dimissioni dall'azienda. La sua preoccupazione riguarda il precedente pericoloso che potrebbe essere stabilito: "Non avevo realizzato che ci fosse il rischio di subire un'irruzione delle autorità a causa di questo più dire cose cattive su Internet", ha scritto, rivelando di aver commesso errori in passato durante simulazioni di cyberattacchi e temendo che futuri errori di sviluppo possano portare a conseguenze legali.
L'incidente solleva questioni fondamentali sulla governance e la gestione degli errori nelle blockchain mature. La presenza di un bug critico non rilevato per tre anni nel codice di un protocollo layer-1 di questa portata evidenzia i limiti dei processi di audit tradizionali. Il fatto che la vulnerabilità sia stata scoperta attraverso un test improvvisato piuttosto che attraverso canali di responsible disclosure suggerisce possibili carenze nei programmi di bug bounty o nelle procedure di sicurezza preventiva.
Per gli investitori e gli sviluppatori DeFi, l'episodio rappresenta un promemoria dei rischi sistemici che persistono anche nelle blockchain più consolidate. La reazione degli exchange centralizzati, che hanno immediatamente sospeso le operazioni, dimostra come un evento tecnico possa rapidamente propagarsi attraverso l'intero ecosistema crypto, bloccando liquidità e creando incertezza operativa. La durata relativamente breve della chain split e il rapido deployment delle patch testimoniano tuttavia la maturità dell'infrastruttura di risposta alle emergenze di Cardano, sviluppata attraverso anni di operatività.
Il dibattito sull'opportunità di criminalizzare errori di sviluppo, anche se negligenti, rimane aperto e potrebbe avere implicazioni per l'intero settore. In un ambiente dove le simulazioni di attacchi e il testing aggressivo sono pratiche comuni per identificare vulnerabilità, la minaccia di conseguenze legali potrebbe creare un effetto raggelante sulla ricerca di sicurezza. Il network attende ora sviluppi sia sul fronte tecnico, con l'implementazione di ulteriori controlli di validazione, sia su quello legale, mentre le autorità valutano se perseguire azioni contro il developer coinvolto.