Un nuovo rapporto del Lazarus Security Lab di Bybit suggests che molte grandi blockchain non sono così trustless come sembrano. In un settore costruito sulla decentralizzazione, questo è sospetto.
I ricercatori di Bybit hanno esaminato le codebase di 166 blockchain usando analisi basate su IA e revisione manuale. Hanno scoperto che 16 reti hanno già funzionalità integrate per congelare i fondi, e altre 19 potrebbero abilitarle con solo piccole modifiche ai loro protocolli.
Sebbene pensate come salvaguardia contro hack e trasferimenti illeciti, queste scoperte hanno riacceso una domanda di lunga data: quanto sono davvero decentralizzati i sistemi che sostengono l’industria crypto?
L’indagine è stata innescata da un incidente di alto profilo: all’inizio di quest’anno la Sui Foundation ha congelato oltre 160 milioni di dollari in asset rubati dopo l’hack del DEX Cetus, un intervento rapido che ha scatenato un intenso dibattito.
Se una foundation può bloccare il wallet di un hacker per proteggere gli utenti, cosa le impedisce di congelare quello di chiunque altro?
Questo rapporto arriva sulla scia di un problema di sicurezza che ha coinvolto la stessa Bybit.
Solo pochi mesi fa, l’exchange ha subito un enorme hack da 1,5 miliardi di dollari, uno dei più grandi nella storia delle crypto. In quel caso sono intervenuti attori centralizzati: partner come Circle e Tether hanno congelato circa 42,9 milioni di dollari in stablecoin rubate, e altri protocolli hanno aiutato a recuperare ulteriori fondi.
La possibilità di premere “pausa” in caso di emergenza ha chiaramente dei vantaggi. Ma evidenzia anche un paradosso: più le reti crypto si affidano a questi “kill switch” per contenere le minacce, più iniziano a somigliare ai sistemi centralizzati tradizionali che intendevano sostituire.
Congelare i fondi crypto: difesa dagli hack vs rischio per la decentralizzazione
Su una blockchain, “congelare” un account significa bloccare il movimento dei suoi fondi, rendendoli di fatto immobili.
In pratica, questo viene tipicamente fatto dai produttori di blocchi (validator) o tramite modifiche alle regole del protocollo che impediscono a un indirizzo in blacklist di transare. Questi poteri di emergenza sono emersi come risposta agli hack e alle frodi dilaganti che affliggono la DeFi.
La logica è semplice: se i ladri rubano milioni in crypto, fermarli on-chain prima che possano riciclare i fondi.
Per esempio, dopo l’exploit da 160 milioni di dollari su Cetus su Sui, la foundation ha implementato rapidamente una deny‑list a livello di protocollo per congelare i wallet dell’hacker.
Allo stesso modo, gli sviluppatori della BNB Chain hanno hardcodato una blacklist per fermare il movimento di 570 milioni di dollari sottratti in un hack a un bridge cross‑chain nel 2022. Già nel 2019, VeChain aveva adottato una blacklist simile dopo il furto di 6,6 milioni di dollari in token dal wallet della sua foundation.
Questi interventi si sono dimostrati efficaci, in modo pragmatico, nel contenere le perdite.
«Nessuno vuole vedere scomparire centinaia di milioni», come ha osservato un analista del settore.
Congelando gli asset rubati, i progetti guadagnano tempo per indagare, recuperare fondi o negoziare con gli attaccanti. Nel caso di Sui, un voto di governance della community ha infine approvato il recupero dei fondi congelati dell’hack di Cetus, restituendo valore alle vittime.
Da un punto di vista puramente di sicurezza, la capacità di mettere in pausa le transazioni è uno strumento potente nel kit di risposta ai disastri degli operatori di blockchain.
Tuttavia, lo stesso potere che può fermare una rapina può anche minare il nucleo dell’etica della decentralizzazione. Transazioni immutabili e resistenti alla censura dovrebbero essere una caratteristica fondamentale delle blockchain pubbliche — “il codice è legge”. L’idea che un gruppo centrale possa bloccare o invertire retroattivamente transazioni contraddice questo principio.
I critici sostengono che se un’autorità può congelare unilateralmente gli asset sul ledger, la neutralità della rete è messa in discussione.
Dopo il freeze d’emergenza di Sui, per esempio, alcuni nella community lo hanno visto come un “tradimento degli ideali di decentralizzazione”, notando che una rete apparentemente permissionless ha rivelato un punto di controllo fortemente permissioned. Questo solleva domande scomode: chi esattamente ha l’autorità di azionare il kill switch su una chain “decentralizzata”? In quali circostanze? E poteri del genere potrebbero essere abusati o ampliati in futuro?
Il nuovo rapporto di Bybit illumina questo crescente trade‑off tra sicurezza e sovranità. La sua conclusione principale è che queste funzioni di freeze non sono eccezioni rare: sono più comuni (e implementate in silenzio) di quanto la maggior parte degli utenti immagini. Su 166 blockchain analizzate, 16 (quasi il 10%) avevano meccanismi di freeze nativi codificati. In modo cruciale, queste 16 includono molte delle più grandi reti mondiali, che insieme rappresentano oltre l’80% del valore DeFi totale bloccato. In altre parole, la maggior parte dell’attività crypto odierna passa attraverso sistemi che possono essere fermati, filtrati o congelati da qualcuno, almeno in determinate condizioni. Questa realtà contrasta con l’idea diffusa che le blockchain siano oltre il controllo di chiunque.
Da una prospettiva di governance, i rischi di centralizzazione sono evidenti.
I ricercatori del Lazarus Lab hanno notato che quasi il 70% degli eventi di freeze documentati è avvenuto a livello di validator o di consenso, uno strato profondo del protocollo non immediatamente visibile agli utenti comuni. In molti casi questi “controlli di emergenza” sono stati esercitati da un piccolo gruppo di insider: gli sviluppatori core del progetto, il consiglio della foundation o un gruppo di validator di vertice. Tali entità non sono sempre trasparenti nel loro processo decisionale. A differenza del codice open‑source della blockchain, questi processi di governance umana spesso avvengono a porte chiuse o con preavviso ridotto.
Questa mancanza di visibilità alimenta il timore che la fiducia venga reintrodotta in sistemi che dovrebbero essere trustless. Come ha detto un osservatore, la decentralizzazione spesso finisce dove inizia l’accesso dei validator.
Come funzionano i meccanismi di freeze
Il rapporto di Bybit identifica tre principali categorie di funzionalità di congelamento on‑chain.
Blacklist hardcodate
Logica di freeze scritta direttamente nel codice sorgente della blockchain. Indirizzi specifici possono essere bloccati a livello di protocollo tramite aggiornamenti del codice. Questo metodo — usato da BNB Chain, VeChain e altri — richiede il rilascio di nuovo software (o un hard fork) per aggiungere o rimuovere indirizzi bannati. La blacklist è visibile pubblicamente nella codebase, ma solo gli sviluppatori del protocollo o soggetti autorizzati possono modificarla con un update.
Congelamento tramite file di configurazione
Un approccio più dietro le quinte, in cui i validator o gli operatori di nodo caricano una blacklist privata tramite file di configurazione (ad es. YAML, TOML) che il software controlla durante la produzione dei blocchi.
Questo freeze “basato su config” non richiede di modificare la codebase pubblica; invece, gli operatori di rete si accordano silenziosamente per aggiornare un file di impostazioni con gli indirizzi da bloccare, quindi riavviano i nodi. Aptos, Sui e Linea sono esempi di chain layer‑1 con questa capacità, gestita essenzialmente tramite consenso dei validator off‑chain. Poiché queste blacklist risiedono nelle config dei nodi, in genere non sono visibili al pubblico, aggravando i problemi di trasparenza.
Freeze tramite smart contract on‑chain
Uno smart contract a livello di sistema che può mettere immediatamente in blacklist o sbloccare account tramite comandi on‑chain. Funziona come un contratto amministrativo con autorità sull’elaborazione delle transazioni.
La Heco (Huobi Eco) Chain è un caso degno di nota: implementa un contratto che i validator consultano per determinare se un indirizzo è vietato dal transare. Questo modello può essere più dinamico (non serve riavviare i nodi per aggiornare la lista) ma, in ultima analisi, una chiave admin o una governance privilegiata controlla le voci di quel contratto.
Implementazioni pratiche
Ciascun approccio, di fatto, concede a un piccolo gruppo l’autorità di fermare transazioni sulla rete — un ruolo tradizionalmente riservato a banche o regolatori nel vecchio sistema finanziario.
È notevole quanto silenziosamente questi controlli siano stati inseriti nelle architetture di varie blockchain. In molti progetti c’è stata poca enfasi o documentazione chiara per informare gli utenti che esiste un simile “pulsante di pausa”.
Spesso la funzionalità è nascosta in repository di codice o istruzioni di configurazione, non evidenziata in whitepaper o documenti di onboarding.
Questo significa che utenti e persino molti sviluppatori potrebbero non essere consapevoli del meccanismo di freeze di una chain finché non viene attivato in una crisi.
Secondo il rapporto, 10 delle 16 blockchain con capacità di freeze si basano sul metodo dei file di configurazione, dando ai validator la possibilità di imporre blacklist private aggiornando le impostazioni dei nodi. Aptos, Sui, EOS e diverse altre rientrano in questa categoria.
Poiché le voci della blacklist risiedono nelle config locali, la rete appare normale agli osservatori esterni: nulla nel ledger pubblico segnala esplicitamente gli indirizzi congelati. Solo gli insider che coordinano il freeze (e gli eventuali block explorer che in seguito notano l’assenza di transazioni da quegli indirizzi) rivelano che è avvenuto un intervento.
Altre cinque delle 16 chain hanno funzioni di freeze hardcodate nel loro codice sorgente.
Gli analisti di Bybit hanno indicato la BNB Chain di Binance, VeChain, Chiliz, “VIC” (una rete più piccola identificata nel rapporto) e la XDC Network di XinFin come esempi. In questi sistemi, gli sviluppatori hanno inserito la logica di blacklist direttamente nelle regole di consenso — una rete di sicurezza decisamente centralizzata. Per esempio, la codebase di BNB Chain contiene un elenco esplicito di indirizzi bloccati che i validator non includeranno nei blocchi. Modificare quell’elenco richiede un aggiornamento del codice (tipicamente orchestrato dal team core di Binance). VeChain ha similmente aggiunto un “modulo di blacklist” hardcodato dopo il suo hack del 2019, anche se il progetto sostiene che sia stato attivato tramite voto della community e non come backdoor permanente (su cui torneremo dopo).
L’ultima delle 16 (Heco) utilizza esclusivamente l’approccio basato su smart contract on‑chain.
In modo significativo, Tron — che era segnalata anche nel report – dispone anch’essa di un modulo di blacklist con permessi integrato, che funziona in modo in qualche modo analogo a una chiamata di contratto avviata dalla Tron Foundation per congelare gli account (il meccanismo di Tron non è stato dettagliato nel riepilogo di Bybit, ma è noto da casi precedenti che i nodi Tron possono essere istruiti a rifiutare le transazioni provenienti da determinati indirizzi).
In tutti i casi, che il congelamento sia basato sul codice, sulla configurazione o su un contratto, il risultato finale è lo stesso: determinati indirizzi possono essere resi impossibilitati a effettuare transazioni, a discrezione di chi controlla questa funzione.
In modo silenzioso, una sorta di modello per il controllo del congelamento si è diffuso in diversi ecosistemi blockchain.
Analizzando i repository GitHub, il team di Bybit ha individuato schemi ricorrenti: hook nel codice di elaborazione delle transazioni, riferimenti a variabili “blacklist” o controlli rispetto a determinati elenchi di account. Questi elementi erano presenti in progetti e linguaggi diversi (ad esempio, chain basate su EVM come BNB e Chiliz rispetto a chain basate su Rust come Sui e Aptos), suggerendo che gli sviluppatori siano giunti in modo indipendente alla stessa idea: una blockchain dovrebbe avere un freno d’emergenza. Ciò che era iniziato come reazione ad hoc alle crisi sembra diventare una considerazione standard di progettazione. E, cosa importante, questi controlli spesso concentrano il potere nelle mani di chi mantiene il codice o gestisce i nodi validatori principali. Come osserva con tono asciutto il report, la decentralizzazione “spesso finisce dove inizia l’accesso ai validator”.
16 principali blockchain con capacità di congelamento
La ricerca di Bybit ha individuato sedici blockchain pubbliche che attualmente dispongono di una funzionalità nativa per congelare account o transazioni. Di seguito l’elenco di queste reti e il meccanismo noto con cui possono bloccare i fondi:
- Ethereum (ETH) – Può attivare una pausa di emergenza tramite intervento di governance (ad esempio attraverso un aggiornamento di rete o hook EIP simili alla proposta EIP-3074). Sebbene Ethereum non abbia una semplice funzione di “blacklist” integrata, gli sviluppatori potrebbero distribuire un fork speciale o usare logica di contratto per ottenere un congelamento in situazioni straordinarie, come dimostrato dal rollback del DAO nel 2016.
- BNB Chain (BNB) – Utilizza un consenso basato su blacklist guidato dai validator. La chain di Binance, supportata dall’exchange, ha funzioni di congelamento hardcodate; i suoi validator, coordinati dal team centrale di Binance, possono rifiutare di elaborare le transazioni provenienti da indirizzi presenti in una blacklist interna.
- Polygon (POL) – Impiega un filtro dinamico degli indirizzi nei pool di transazioni. I nodi di Polygon possono essere configurati (tramite fork o aggiornamenti) per filtrare le transazioni che coinvolgono determinati indirizzi, impedendo di fatto agli account in blacklist di essere inclusi nei nuovi blocchi.
- Solana (SOL) – Supporta aggiornamenti di configurazione runtime per il blacklisting. Il design di Solana consente al team principale o all’entità di governance di inviare rapidamente modifiche di configurazione a livello di rete. In teoria, questo potrebbe essere usato per distribuire una blacklist a livello di software dei validator o per bloccare determinati account.
- Avalanche (AVAX) – Presenta blocchi delle transazioni attivabili tramite governance. Avalanche può utilizzare la propria governance on-chain (tramite il voto dei validator) per implementare blocchi di emergenza o restrizioni specifiche per indirizzi sulla C-Chain e sulle subnet, se una supermaggioranza di validator è d’accordo.
- Tron (TRX) – Modulo di blacklist integrato nel protocollo. La rete Tron, supervisionata dalla Tron Foundation, ha una funzionalità che consente alle autorità di congelare gli account (ad esempio, per conformarsi a richieste delle forze dell’ordine o proteggere da hack, come visto in passati incidenti che hanno coinvolto asset basati su TRON).
- Cosmos (ecosistema ATOM) – Pausa del modulo IBC e ban degli indirizzi. Cosmos e le sue blockchain basate su SDK non hanno ancora utilizzato congelamenti globali, ma il sistema di inter-blockchain communication (IBC) e gli account dei moduli potrebbero essere sfruttati per bloccare i trasferimenti o mettere in blacklist indirizzi tra le zone con un aggiornamento coordinato.
- Polkadot (DOT) – Congelamenti specifici per parachain tramite la Relay Chain. La governance di Polkadot può attuare aggiornamenti runtime sulle parachain. In emergenza, la relay chain potrebbe imporre un congelamento o un revert per una parachain o un indirizzo problematico, soggetto al voto on-chain di Polkadot.
- Cardano (ADA) – Hard fork con esclusione di indirizzi. Cardano non dispone di un semplice opcode di congelamento, ma tramite i suoi aggiornamenti con hard fork combinator la comunità potrebbe introdurre regole che escludono determinati UTXO o indirizzi (ad esempio, non riconoscendo gli output controllati da una chiave in blacklist in una nuova epoca).
- Tezos (XTZ) – Voti di governance che abilitano congelamenti. Il registro auto-emendabile di Tezos potrebbe incorporare un meccanismo di congelamento tramite un emendamento al protocollo. Se gli stakeholder votassero per includere in un aggiornamento una funzione di blacklist o di pausa (per uso di emergenza), questa diventerebbe parte del protocollo di Tezos.
- Near Protocol (NEAR) – Filtri delle transazioni a livello di shard. Il design shardato di NEAR potrebbe permettere ai nodi di coordinamento di filtrare o rifiutare transazioni destinate a indirizzi specifici in un determinato shard – una capacità che potrebbe essere implementata tramite governance del protocollo in eventi estremi.
- Algorand (ALGO) – Trasferimenti atomici con chiavi di revoca. Il framework per gli asset standard (ASA) di Algorand include una funzione opzionale di congelamento e clawback dell’asset da parte dell’emittente. Sebbene ALGO in sé non possa essere congelato, molti token su Algorand dispongono di controlli di congelamento. Algorand supporta inoltre transazioni di trasferimento forzato (se autorizzate) che imitano un congelamento spostando fondi fuori da un indirizzo in blacklist.
- Hedera Hashgraph (HBAR) – Controlli amministrativi di congelamento dei token. Hedera, governata dal proprio consiglio societario, offre funzioni amministrative integrate per i token. Gli amministratori approvati possono congelare i trasferimenti di token o persino azzerare i saldi. Il modello permissioned della rete significa che il consiglio potrebbe probabilmente anche bloccare account a livello di ledger se necessario.
- Stellar (XLM) – Clausole di clawback e congelamento nell’emissione di asset. Stellar consente agli emittenti di asset (token) di abilitare una funzione di “clawback”, che permette loro di congelare o recuperare token dai wallet degli utenti in determinate condizioni. Ciò è stato usato da emittenti regolamentati di stablecoin su Stellar e costituisce un meccanismo di congelamento parziale nell’ecosistema.
- Ripple XRP Ledger (XRP) – Funzionalità di escrow e line-freeze. Lo XRP Ledger (XRP) non consente il congelamento della valuta nativa XRP, ma permette agli emittenti di token IOU (come stablecoin o titoli sul ledger) di congelare globalmente asset o specifiche trust line. La rete di Ripple supporta anche il blocco di XRP in contratti di escrow (blocchi temporali), una funzione correlata alla limitazione del movimento dei fondi.
- VeChain (VET) – Controlli sulle transazioni basati sull’autorità. Il sistema di authority masternode di VeChain ha reso possibile una blacklist nel 2019 dopo un hack. La fondazione, con l’approvazione della comunità, ha attivato controlli a livello di consenso che hanno portato i validator a rifiutare qualsiasi transazione dagli indirizzi dell’hacker, congelando di fatto quei fondi.
È importante notare che non tutti i progetti concordano con il modo in cui è stata caratterizzata la loro capacità di congelamento.
Ad esempio, dopo la pubblicazione del report di Bybit, il team di VeChain ha pubblicamente contestato l’idea che il suo protocollo disponga, di per sé, di un congelamento permanente hardcodato.
La VeChain Foundation ha spiegato che, nell’incidente del 2019, la comunità ha votato per emettere una patch una tantum – una modifica alle regole di consenso – che bloccava gli indirizzi dell’hacker a livello di validator.
«Il software di VeChainThor include controlli a livello di consenso che, una volta abilitati tramite la governance della comunità, hanno reso gli asset inamovibili», ha scritto il team, sottolineando che la misura era approvata dalla governance e non una funzione sempre attiva. In altre parole, VeChain sostiene che non esista un kill switch segreto nel normale funzionamento; hanno semplicemente modificato il codice seguendo la procedura corretta per congelare quei fondi rubati. Questa risposta evidenzia la sensibilità del tema: nessuna blockchain vuole essere percepita come centralmente controllata, anche se in situazioni di emergenza agisce in quel modo.
I prossimi in lista: 19 reti a pochi clic di distanza da poteri di congelamento
Forse ancora più sorprendente dei 16 blockchain che dispongono di funzioni di congelamento è l’avvertimento del report secondo cui altre 19 reti potrebbero adottare controlli simili con uno sforzo minimo. In molti casi, l’impalcatura di codice per blacklist o per la pausa delle transazioni è già presente o facilmente aggiungibile. Potrebbero bastare poche righe di codice modificate, o l’attivazione di un flag di configurazione, per accendere la funzione.
Quanto potrebbe diventare pervasivo questo fenomeno? Potenzialmente molto, se gli sviluppatori decideranno che il compromesso ne vale la pena.
Il team di Bybit ha effettivamente evidenziato diversi progetti specifici in questa categoria del “potrebbero congelare facilmente”.
Hanno osservato che chain popolari come Arbitrum, Cosmos, Axelar, Babylon, Celestia e Kava figurano tra quelle che potrebbero abilitare il congelamento dei fondi con modifiche relativamente minori al protocollo. Queste reti non pubblicizzano attualmente alcuna capacità di congelamento, eppure le loro architetture sono tali che introdurne una non sarebbe difficile.
Ad esempio, molte chain basate su Cosmos utilizzano un sistema di account di modulo (per funzioni come governance o account di raccolta delle fee).
Come hanno osservato i ricercatori, quegli account di modulo potrebbero essere modificati per rifiutare le transazioni in uscita da determinati indirizzi. Finora, nessuna blockchain dell’ecosistema Cosmos ha utilizzato questo meccanismo per mettere in blacklist un utente: farlo richiederebbe un hard fork approvato dalla governance con una piccola modifica al codice nella logica di gestione delle transazioni. Ma il fatto che ciò sia realizzabile con un aggiornamento relativamente semplice significa che il modello è già lì, in attesa di una decisione.
In pratica, l’abilitazione di una funzione di congelamento su queste ulteriori chain probabilmente seguirebbe uno schema già noto: un grande hack ola pressione normativa potrebbe spingere gli sviluppatori a dire: «Ci serve questo strumento». In effetti, dopo l’hack e il congelamento da 162 milioni di dollari su Sui, la rete Aptos (un’altra chain basata sul linguaggio Move) ha aggiunto in silenzio la capacità di blacklist nel proprio codice nelle settimane successive. Avevano capito dove si stava andando a parare: senza un meccanismo di freeze, avrebbero avuto pochi rimedi se un exploit simile avesse colpito il loro ecosistema.
Questo dimostra come il precedente stabilito da un progetto possa influenzarne altri. Se si verificassero anche solo pochi altri incidenti di alto profilo, è facile immaginare una cascata di chain che implementano rapidamente interruttori di freeze latenti “per ogni evenienza”.
La diffusione di pattern di codice simili suggerisce un certo grado di convergenza del settore su questo tema. «Non è un’anomalia – sta diventando un modello industriale», afferma il report a proposito della logica di freeze on-chain. Molte nuove blockchain sembrano aver tratto lezioni (nel bene e nel male) dagli hack precedenti su reti più vecchie.
Potrebbero includere nel loro design degli hook che consentono azioni centralizzate opzionali, anche se non le pubblicizzano.
In alcuni casi, questi hook sono stati individuati dallo strumento di scansione AI di Bybit: il team ha sfruttato un modello di intelligenza artificiale (Claude 4.1 di Anthropic) per scansionare centinaia di repository alla ricerca di parole chiave e strutture di codice legate a blacklist e filtraggio delle transazioni.
Questo assistente AI ha segnalato decine di potenziali istanze in vari progetti.
Non tutte erano vere funzioni di freeze – alcuni falsi positivi includevano funzionalità a livello utente che in realtà non erano controlli a livello di protocollo. Ma il fatto che sia stata necessaria l’automazione per vagliare quanto fosse diffuso il fenomeno sottolinea quanto siano diventati sfumati i confini del “controllo decentralizzato”.
I ricercatori hanno dovuto verificare manualmente ogni caso alla fine, a dimostrazione che persino gli esperti possono faticare a capire dove una blockchain nasconda leve di controllo.
Il report di Bybit sottolinea che l’esistenza di capacità di freeze in un numero crescente di reti non è ipotetica. È già la norma nello spirito, se non nella lettera. La differenza sta semplicemente nel fatto che un progetto abbia già azionato l’interruttore o meno. Molti potrebbero farlo con un hard fork o persino con un cambio di configurazione a runtime, il che significa che l’etica dell’immutabilità assoluta è, in termini pratici, compromessa. Ci stiamo muovendo verso uno scenario in cui la maggioranza delle chain ha qualche forma di “pulsante di stop” – o attivo o in attesa. Questo alza l’asticella per la trasparenza: se questi interruttori sono pervasivi, utenti e investitori vorranno sapere esattamente chi può azionarli e come.
Sicurezza pragmatica o centralizzazione nascosta?
Il dibattito su questi risultati si riduce essenzialmente a un dilemma classico: i benefici dell’intervento d’emergenza superano i costi per la decentralizzazione?
I sostenitori delle funzioni di freeze sostengono che siano una misura di sicurezza pragmatica – un’opzione necessaria in un mondo in cui hack, exploit e furti sono dilaganti. Il report documenta effettivamente come i freeze abbiano salvato un valore sostanziale. La rapida azione di Sui dopo l’hack del DEX Cetus ha potenzialmente salvato 162 milioni di dollari dal venire sottratti per sempre.
La blacklist di BNB Chain durante l’exploit del 2022 ha contribuito a contenere una violazione da 570 milioni di dollari, prevenendo un’ulteriore contagio nell’ecosistema Binance. Il freeze di VeChain nel 2019 di 6,6 milioni di dollari in token rubati ha protetto la tesoreria del progetto e i fondi della community da una perdita irrimediabile. Ciascuno di questi eventi avrebbe potuto essere devastante; la possibilità di intervenire li ha trasformati da fatali a “solo” dolorosi.
«Senza di essi, hack come quello di Cetus o l’exploit del bridge BNB avrebbero spazzato via gli investitori», osserva il report in difesa di questi meccanismi.
Tuttavia, ogni volta che una blockchain esercita questo tipo di override, erode il fondamento etico trustless della tecnologia blockchain. La resistenza alla censura – la garanzia che nessuno possa impedire transazioni valide – è una parte importante del motivo per cui le persone si affidano alle reti decentralizzate. Se gli utenti arrivano a percepire che una foundation o un comitato può intervenire e congelare fondi a piacimento, la distinzione psicologica (e giuridica) rispetto alle banche tradizionali inizia a sfumare. I ricercatori di Bybit avvertono che persino i freeze in buona fede creano un precedente:
«Una volta che una chain congela dei fondi una volta, è difficile immaginare che non lo farà di nuovo», scrivono. Il timore è che ciò che nasce come misura eccezionale possa trasformarsi in uno strumento di controllo di routine.
Ci sono indizi che la linea si stia già spostando.
Secondo i dati del report, quasi il 70% degli eventi di freeze documentati è avvenuto tramite azioni al livello di consenso da parte di validator o block producer. Questo è significativo perché si tratta del livello più profondo del sistema – il che significa che la censura era incorporata nella produzione dei blocchi stessa, non solo in uno strato applicativo superficiale. Gli utenti medi non se ne accorgerebbero nemmeno; la chain semplicemente smette di processare le transazioni da determinati indirizzi, senza alcuna spiegazione registrata on-chain.
In una maggioranza di casi le decisioni di congelare sono state prese da piccoli consigli di governance, team di foundation o gruppi di core dev.
Questi sono spesso organismi non eletti, o, se eletti (come alcuni set di validator), tendono a essere dominati da insider e non sono direttamente responsabili verso milioni di utenti globali. Tali freeze possono quindi assomigliare alle azioni di una banca centrale o a un decreto governativo, eseguiti senza quel sistema di pesi e contrappesi che la decentralizzazione avrebbe dovuto garantire.
L’opacità che circonda queste azioni di emergenza è una parte importante della preoccupazione.
Nel caso di Sui, il coordinamento per congelare i fondi è avvenuto tramite accordi dietro le quinte tra validator orchestrati dalla Sui Foundation. Non c’è stata alcuna proposta on-chain o voto preventivo degli utenti; è stata una risposta urgente.
Allo stesso modo, la nuova funzione di freeze di Aptos sarebbe gestita tramite file di configurazione privati dei validator, e «solo una manciata di persone sa» chi mantiene la blacklist o come vengono prese quelle decisioni. Questo approccio furtivo può essere efficiente in caso di crisi, ma mette da parte la community e manca di trasparenza.
Perfino su BNB Chain, che è relativamente aperta riguardo alla sua blacklist hardcoded, il controllo «risiede saldamente nel core di sviluppatori di Binance», osserva l’analisi. Cioè, la decisione ultima su chi viene messo in blacklist su BNB dipende di fatto dalla leadership di Binance – una struttura di autorità più simile a quella di una corporation che a un progetto di community decentralizzata. E nel caso del freeze basato su smart contract di Heco, una chiave di admin detenuta dagli operatori del protocollo può decidere quali indirizzi vivono o muoiono sulla rete.
Per i critici, queste realtà confermano sospetti di lunga data secondo cui molte cosiddette blockchain decentralizzate sono decentralizzate solo di nome. «I confini tra foundation, validator e regolatore si stanno sfumando rapidamente», ha osservato un commento. Quando si arriva al dunque, la maggior parte delle grandi reti può agire in modo molto simile a intermediari centralizzati: possono congelare fondi, invertire transazioni o comunque governare l’attività degli utenti in modi che gli utenti potrebbero non comprendere.
La community crypto ha già visto dibattiti analoghi con temi come la conformità alle sanzioni OFAC, quando nel 2022 i validator di Ethereum hanno iniziato a censurare indirizzi sanzionati nei blocchi. Anche quello è stato visto come un piano inclinato in cui la pressione esterna portava a comportamenti di fatto centralizzati in un sistema decentralizzato.
D’altra parte, i difensori dei poteri d’emergenza sostengono che una certa capacità di intervenire sia semplicemente parte del “processo di maturazione” del crypto. Man mano che le piattaforme blockchain diventano mainstream e custodiscono miliardi di valore, la realtà di hack e crimini non può essere ignorata.
Persino i decentralisti più duri potrebbero ammettere che, se fossero stati derubati dei propri fondi, accoglierebbero con favore un freeze tempestivo per recuperarli. La chiave, forse, è garantire una governance adeguata e trasparenza attorno a queste capacità.
David Zong, responsabile sicurezza di Bybit che ha guidato la ricerca, l’ha formulata così: la blockchain può essere nata sulla decentralizzazione, «eppure la nostra ricerca mostra che molte reti stanno sviluppando meccanismi di sicurezza pragmatici per rispondere rapidamente alle minacce».
L’elemento cruciale, dice, è che «la trasparenza costruisce fiducia» – cioè, se tali meccanismi esistono, dovrebbero essere divulgati apertamente e soggetti a supervisione, non nascosti nel codice.
Il risultato peggiore sarebbero backdoor segrete o pulsanti di freeze che gli utenti scoprono solo quando è troppo tardi.
Al contrario, se un progetto dichiara apertamente di mantenere un freno d’emergenza e fornisce una policy chiara su come e quando viene usato (ad esempio solo per hack sopra una certa soglia, richiedendo l’approvazione multisig, ecc.), utenti e investitori possono valutare da soli il compromesso.
La risposta di VeChain, citata in precedenza, è esemplare. Non hanno negato di aver congelato i fondi – hanno difeso il modo in cui ciò è stato fatto, presentandolo come un’azione governata dalla community piuttosto che una mossa unilaterale. Questo suggerisce un possibile punto di incontro: qualsiasi freeze dovrebbe essere attuato attraverso qualche forma di processo decisionale decentralizzato. Nel caso di VeChain, affermano che i detentori di token abbiano approvato la blacklist. Nel caso di Sui, a posteriori, una votazione della community ha ratificato il piano di recupero. Sebbene questi passaggi di governance possano essere imperfetti (i critici noteranno che l’influenza della foundation può spesso orientare i voti o che i tempi di emergenza escludono lunghi dibattiti), quantomeno cercano di allinearsi ai principi decentralizzati. L’alternativa – un pugno di core dev che prende tutte le decisioni – si avvicina pericolosamente ai sistemi centralizzati da cui il crypto cercava di emanciparsi.
A quasi un anno dallo storico “DAO fork” di Ethereum nel 2016 – probabilmente il primo intervento on-chain su fondi – il settore sta ancora lottando con la stessa domanda di fondo: le blockchain dovrebbero mai intervenire sull’attività on-chain, anche per correggere un torto?
Potrebbe non esserci mai una risposta valida per tutti. Reti diverse stanno adottando posizioni diverse, dall’immutabilità assolutista di Bitcoin (anche i furti dell’era di Satoshi non possono essere invertiti) alle chain più flessibili e pesantemente governate come Tezos o Polkadot, che consentono esplicitamente modifiche guidate dalla community. Ciò che è chiaro è che la presenza diquesti meccanismi di congelamento offuscano la dicotomia tra centralizzato e decentralizzato.
Molte reti occupano una zona grigia nel mezzo: decentralizzate nel funzionamento quotidiano, ma con capacità di intervento centralizzato in scenari estremi. Che ciò venga visto come una prudente gestione del rischio o come un compromesso fatale dipende probabilmente dalla propria filosofia e forse dal fatto di essere mai stati dalla parte perdente di un hack.
Closing Thoughts
Il report di Bybit ha sollevato il sipario su una verità scomoda: la capacità di congelare i fondi fa ormai parte del panorama blockchain, soprattutto tra le reti principali.
La scelta che l’industria si trova di fronte non è più semplicemente “centralizzazione vs decentralizzazione”. È governance onesta vs controllo nascosto.
I progetti che dichiarano apertamente i propri poteri e li sottopongono a controlli democratici potrebbero mantenere la loro credibilità: staranno dicendo siamo per lo più decentralizzati, tranne che in casi di estrema emergenza, ed ecco esattamente come funziona.
Al contrario, se tali poteri restano opachi e privi di controllo, è solo questione di tempo prima che seminino sfiducia o vengano abusati. Con l’aumento della pressione regolatoria, alcune giurisdizioni potrebbero persino imporre per legge capacità di congelamento on-chain (l’UE e Singapore hanno già avanzato idee per disposizioni di “freno d’emergenza”). Anche gli investitori istituzionali potrebbero preferire reti in grado di controllare il rischio, anche a costo di sacrificare una parte della decentralizzazione.
Questo potrebbe portare a una divisione tra chain “compliant” che possono intervenire e chain “puriste” che si rifiutano di farlo, ridefinendo in modo fondamentale l’identità dell’ecosistema crypto.
Alla fine, la decentralizzazione nel mondo crypto non sta morendo, ma sta maturando e affrontando severi esami di realtà.