Gli analisti di SlowMist lanciano l'allarme per le vulnerabilità nello scambio con volume giornaliero di 3,7 miliardi di dollari

La società di sicurezza blockchain SlowMist ha segnalato due exchange di criptovalute che ha identificato con gravi vulnerabilità che influenzano la sicurezza dei fondi sulle rispettive piattaforme. 

Il fondatore di SlowMist, che utilizza lo pseudonimo Evilcos, ha espresso frustrazione per la mancanza di risposta. 

"Gli exchange sconosciuti sono davvero inaffidabili", ha scritto su X. "Il nostro team di sicurezza ha scoperto gravi vulnerabilità in due exchange (che impattano direttamente la sicurezza dei fondi), ma non siamo riusciti a contattare nessuno e persino i menzioni pubbliche non hanno ricevuto risposta."

Gli exchange in questione gestiscono volumi di trading giornalieri significativi, con uno che ha un volume di trading a 24 ore di 3,7 miliardi di dollari, mentre l'altro gestisce circa 240 milioni di dollari, secondo Evilcos.

Tentativi di divulgazione respinti

SlowMist ha emesso avvisi di sicurezza a Seychelles-registered Azbit e all'exchange turco ICRYPEX Global il 16 dicembre e il 17 dicembre, rispettivamente. La società ha anche affermato di aver tentato di contattare entrambe le piattaforme tramite messaggi diretti e post pubblici, seguendo le pratiche standard di divulgazione responsabile, ma non ha ricevuto alcun riconoscimento.

ICRYPEX, che è stato stabilito nel 2018 e detiene licenze di fornitore di servizi di attività virtuali in due paesi dell'Unione Europea, riferisce di servire milioni di utenti in oltre 30 paesi.

Azbit è stato lanciato alla fine del 2019 e opera nelle Seychelles; tuttavia, all'inizio di quest'anno, il regolatore delle Seychelles ha dichiarato che "la società non ha, né ha mai avuto alcuna autorizzazione a operare ai sensi dell'Virtual Asset Service Providers Act, 2024, ed è semplicemente una società di affari internazionale ("IBC") costituita ai sensi dell'IBC Act."

Il fallimento nel stabilire un contatto ha spinto SlowMist a intraprendere l'inaspettato passo di divulgare pubblicamente le scoperte delle vulnerabilità prima della risoluzione, il che è un po' preoccupante, sebbene si possa presumere che i rispettivi exchange stiano già lavorando su di esse. 

Tuttavia, un indirizzo pubblico o un riconoscimento delle scoperte di SlowMist andrebbe molto lontano per calmare i loro clienti.

Preoccupazioni per la sicurezza a livello di settore

L'incidente si verifica in un contesto di sfide di sicurezza persistenti in tutto il settore delle criptovalute. Il rapporto annuale sulla sicurezza di SlowMist del 2024 ha documentato 410 incidenti di sicurezza che hanno causato perdite per oltre 2,013 miliardi di dollari.

Società di cybersecurity CertiK ha condiviso che gli exchange di criptovalute hanno perso oltre 29 milioni di dollari nel novembre 2025, classificandosi al secondo posto nella lista delle perdite per tipo dopo la finanza decentralizzata (DeFi).

Le migliori pratiche raccomandano che gli sviluppatori di criptovalute stabiliscano punti di contatto per la segnalazione di problemi di sicurezza, incluse chiavi pubbliche a lungo termine per la comunicazione sicura.

Gli exchange contatteranno?

L'esperienza di SlowMist nel cercare di contattare e non ricevere alcuna risposta, sebbene non unica, mostra che anche gli exchange consolidati con basi di utenti considerevoli potrebbero non disporre di canali adeguati per ricevere intelligence di sicurezza critica.

Questo solleva anche domande sulla prontezza degli exchange di criptovalute ad affrontare rapidamente le divulgazioni di vulnerabilità.

SlowMist ha lavorato con importanti exchange, tra cui Binance, OKX, HTX e Crypto.com, conferendo credibilità alle sue valutazioni di sicurezza e nel colmare le lacune che trova.

ha riferito che l'Ufficio del Commissario per la Protezione dei Dati (ODPC) ha confermato che tutte le scansioni delle iridi e altri identificatori biometrici raccolti durante l'esercizio di iscrizione di Worldcoin del 2023 erano stati cancellati dai sistemi del progetto. ha riportato che la società SlowMist ha guidato un'indagine che ha scoperto vulnerabilità in NOFX AI, un sistema di trading di futures su criptovalute open source costruito sull'architettura di modelli linguistici di grandi dimensioni di DeepSeek e Qwen, e ha anche condiviso raccomandazioni su come risolvere il problema. 

Le linee guida del settore per la divulgazione responsabile raccomandano solitamente che le parti interessate rispondano entro due giorni lavorativi dal primo contatto. Se non si riceve risposta dopo più tentativi, i ricercatori di sicurezza spesso impostano una divulgazione pubblica della questione per garantire la trasparenza, specialmente quando sono coinvolti fondi.

Né ICRYPEX né Azbit hanno risposto agli avvisi di sicurezza o hanno rilasciato dichiarazioni pubbliche riguardo alle vulnerabilità al momento della pubblicazione.