Confronta le principali società di audit di smart contract

1. CertiK

CertiK rimane il nome principale nella sicurezza Web3. Ha completato oltre 5.500 audit su più di 20 blockchain e individuato oltre 115.000 vulnerabilità. I suoi ingegneri utilizzano la revisione manuale insieme a motori di verifica formale che dimostrano matematicamente il comportamento di un contract in ogni stato raggiungibile prima del deployment sulla mainnet.

Il suo principale elemento distintivo arriva dopo il report dell'audit. Skynet valuta continuamente i protocolli attivi che rappresentano circa 542 miliardi di dollari di valore di mercato monitorato, consentendo ai team di vedere come gli aggiornamenti, i voti di governance e le integrazioni modificano il proprio profilo di rischio nel tempo.

CertiK pubblica anche i report di sicurezza Hack3d, considerati uno standard del settore, offrendo ai potenziali acquirenti una visibilità insolita sui dati attuali relativi agli attacchi. La scala ha tuttavia un lato negativo. La classifica rekt registra l'incidente da 216 milioni di dollari di Gala Games presso un cliente precedentemente sottoposto a revisione.

Vantaggi

• Verifica formale abbinata alla valutazione continua post-audit di Skynet.
• La ricerca sugli incidenti pubblicata mantiene la metodologia allineata alle minacce attuali.
• La vasta base di clienti dimostra un processo di consegna ripetibile.

Svantaggi

• Il riconoscimento del marchio attira progetti che cercano audit di facciata.
• Diversi clienti precedentemente sottoposti a revisione compaiono nella classifica rekt.
• Prezzi premium rispetto alle alternative di nicchia.

2. Hacken

Hacken ha protetto circa 430 miliardi di dollari in asset digitali attraverso oltre 1.600 progetti per i clienti, affermandosi come scelta leader per exchange e piattaforme istituzionali. La sua divisione di bug bounty HackenProof coordina 45.000 ricercatori indipendenti. Insieme, hanno individuato oltre 25.000 vulnerabilità e raccolto 15,7 milioni di dollari in ricompense.

La prontezza normativa è il vantaggio più evidente di Hacken nel 2026. L'azienda mappa i risultati rispetto ai requisiti MiCA e DORA, creando documentazione pronta per la conformità che le entità europee possono fornire direttamente alle autorità di vigilanza. Le sue attestazioni di proof of reserves verificano inoltre i depositi degli utenti per exchange come OKX e Bybit.

Questo orientamento istituzionale rende Hacken particolarmente adatto a CASP e custodian, piuttosto che a primitive DeFi sperimentali. Il suo curriculum è solido senza essere immacolato: la classifica rekt include un exploit di Warp Finance da 7,8 milioni di dollari presso un protocollo che i suoi ingegneri avevano precedentemente recensito.

Vantaggi

• I report mappati sulla conformità soddisfano direttamente gli obblighi MiCA e DORA.
• Una vasta rete di bug bounty estende la copertura oltre la finestra dell'audit.
• La verifica delle proof of reserves accresce la fiducia degli utenti dell'exchange.

Svantaggi

• Le ampie metriche generali sono difficili da mappare sulle singole chain.
• L'orientamento aziendale potrebbe risultare eccessivo per i piccoli team DeFi.
• Un incidente storico post-audit è presente nella classifica rekt.

3. Hashlock

Hashlock è il principale revisore di smart contract in Australia, con oltre 500 recensioni di progetti completate e circa 4 miliardi di dollari in asset protetti. Le attività si concentrano sull'ispezione manuale riga per riga su Ethereum, Solana e Polygon. Un sistema di rating di sicurezza proprietario supporta il processo e l'azienda dichiara un tempo di risposta inferiore alle tre ore.

Il dato più rilevante è l'affermazione di Hashlock secondo cui nessun cliente sottoposto a un audit completo ha subito un exploit riuscito, un fatto confermato dalla classifica pubblica di rekt. Le sue revisioni si concentrano in modo particolare sulla business logic e sulla progettazione degli incentivi. Si tratta proprio delle categorie di vulnerabilità che gli scanner automatizzati spesso non rilevano e che gli attaccanti continuano a prendere di mira.

I servizi di sicurezza proseguono anche dopo la revisione iniziale. Il monitoraggio delle minacce e la sorveglianza onchain di Hashlock controllano i contratti distribuiti alla ricerca di anomalie. Valutazioni separate sui tokenomics individuano incentivi mal progettati in grado di generare percorsi di attacco economico anche quando il codice sottostante è tecnicamente corretto.

Vantaggi

• Zero exploit registrati su progetti di clienti sottoposti a un audit completo.
• La revisione dei tokenomics individua i rischi economici oltre la correttezza del codice.
• Risposte rapide nella definizione dell'ambito si adattano a team con scadenze di lancio ristrette.

Svantaggi

• Presenza globale inferiore rispetto ai rivali statunitensi ed europei.
• Documentazione pubblica limitata del proprio stack di strumenti interni.
• Gli avvisi di monitoraggio richiedono comunque procedure di escalation lato cliente.

4. Trail of Bits

Trail of Bits affronta i progetti blockchain come una società di ricerca sulla sicurezza dei sistemi. Le sue revisioni possono estendersi oltre gli smart contract ai keeper off-chain, ai relayer e agli strumenti di amministrazione, tutti elementi sempre più presi di mira dai moderni attaccanti. Operativa dal 2012, la società offre competenze in crittografia e affidabilità del software che pochi concorrenti nativi di Web3 possono eguagliare.

Gran parte dei principali strumenti di sicurezza del settore proviene da Trail of Bits. La società sviluppa e mantiene l'analizzatore statico Slither insieme ai fuzzer Echidna e Medusa, e i suoi consulenti utilizzano questi strumenti affiancandoli a una revisione manuale. Questo approccio basato sulla ricerca la rende una scelta predefinita per architetture innovative, sistemi zero-knowledge e infrastrutture critiche per il consenso.

I suoi interventi tendono a essere più approfonditi e lenti rispetto agli audit standard, risultando più adatti a protocolli complessi rispetto ai semplici lanci di token. La ricerca d'élite ha comunque dei limiti. La classifica di rekt registra un exploit da 3,3 milioni di dollari su Raft, che Trail of Bits aveva precedentemente esaminato.

Vantaggi

• Profondità senza eguali nella crittografia e nella revisione dell'infrastruttura off-chain.
• Mantiene strumenti di analisi open-source standard di settore.
• Storicità operativa più lunga tra i principali auditor di Web3.

Svantaggi

• Lo stile di lavoro è più lento e richiede un maggiore impiego di risorse.
• Prezzi eccessivi per audit di token semplici e a basso ambito.
• Non pubblicizza cifre di asset protetti di rilievo a scopo di confronto.

5. Cyfrin

Cyfrin, fondata da Patrick Collins nel 2023, è diventata un auditor di massimo livello unendo il lavoro sulla sicurezza alla formazione per sviluppatori. L'azienda ha protetto circa 40 miliardi di dollari di asset. La sua piattaforma gratuita Updraft ha formato oltre 100.000 studenti nelle basi di Solidity, Vyper e della ricerca sulla sicurezza.

Quell'ecosistema formativo si riflette sul lavoro di audit dell'azienda. CodeHawks, la sua piattaforma competitiva, e il database di vulnerabilità Solodit espongono costantemente i ricercatori a nuovi pattern di exploit. Clienti tra cui ZKsync, Chainlink e Starknet ricevono report insolitamente trasparenti, spesso integrati da video guide pubbliche.

Cyfrin è particolarmente adatta ai team che desiderano un audit collaborativo, in cui i propri sviluppatori acquisiscono competenze maggiori rispetto all'inizio del processo. La sua storia è più breve rispetto a quella dei concorrenti storici, ma attualmente nessun progetto Cyfrin sottoposto a un audit completo compare nella classifica di rekt.

Vantaggi

• Un modello incentrato sulla formazione migliora le competenze dei team dei clienti durante gli incarichi.
• Storico post-audit pulito in tutte le revisioni private completate.
• Gli strumenti gratuiti e il database Solodit avvantaggiano l'ecosistema più ampio.

Svantaggi

• Storico operativo più breve rispetto a concorrenti presenti sul mercato da un decennio.
• Gli audit competitivi richiedono una forte attività di triage interna da parte dei clienti.
• La profondità dei casi studio pubblici varia a seconda del tipo di servizio.

6. Sherlock

Sherlock ha completato oltre 1.000 audit e protetto più di 250 miliardi di dollari in TVL attraverso un modello basato sui dati di performance dei ricercatori anziché su un team interno fisso. Il suo network include oltre 11.000 ricercatori, con specialisti comprovati in settori come lending, bridge o messaggistica cross-chain abbinati a ciascuna codebase.

I contest di audit possono riunire centinaia di ricercatori indipendenti sullo stesso scope contemporaneamente. Un lead senior coordina il processo, mentre una pipeline di valutazione gestisce le segnalazioni duplicate. Tra i principali incarichi figurano il test di stress Fusaka da 2 milioni di dollari della Ethereum Foundation e la competizione XRP Ledger da 550.000 dollari di Ripple.

Sherlock è anche l'unico grande revisore a offrire responsabilità finanziaria rimborsando ai protocolli fino a 2 milioni di dollari in caso di mancata individuazione di una vulnerabilità coperta. La classifica di rekt attribuisce a Sherlock l'exploit di Euler da 197 milioni di dollari. In quel caso, l'azienda ha pagato i risarcimenti previsti dalla sua copertura.

Vantaggi

• Il personale classificato in base alle prestazioni associa gli specialisti a ogni codebase.
• La copertura facoltativa contro gli exploit allinea gli incentivi dei revisori con quelli dei clienti.
• Il modello basato sui contest offre centinaia di revisori avversariali per ogni scope.

Svantaggi

• I risultati dei contest richiedono una gestione interna disciplinata delle correzioni.
• L'incidente di Euler rimane la più grande perdita oggetto di audit su rekt.
• I termini di copertura prevedono limiti di scope che i team devono leggere attentamente.

7. Spearbit (Cantina)

Spearbit è il collettivo di ricercatori d'élite dietro alla piattaforma Cantina. I due brand si sono fusi nel maggio 2025 in un unico stack di sicurezza. Il loro network combinato comprende più di 9.000 ricercatori, ha protetto oltre 100 miliardi di dollari di valore onchain e serve clienti tra cui Coinbase, Uniswap e Aave.

Per gli incarichi privati, Spearbit assembla team selezionati di Lead Security Researchers per gestire alcune delle revisioni a più alto rischio del settore. Le competizioni pubbliche di Cantina, nel frattempo, hanno distribuito 46,7 milioni di dollari tra oltre 200 protocolli. Tra le competizioni storiche figurano quella da 2,35 milioni di dollari per Uniswap v4 e la revisione dell'hard fork Pectra da 2 milioni di dollari della Ethereum Foundation.

Nel 2026, la piattaforma si sta orientando verso la sicurezza a ciclo completo. Analisi native basate su AI, bug bounty gestiti e copertura continua vengono integrati nelle revisioni puntuali. Il suo storico pubblico rimane solido, con l'incidente da 12 milioni di dollari di Cork Protocol, caratterizzato da uno scope contestato, che rappresenta la principale macchia citata dai critici.

Vantaggi

• Accesso a quella che è probabilmente la più profonda riserva di talenti di ricerca d'élite.
• Le competizioni di rilievo dimostrano la capacità su codebase di punta.
• La copertura continua estende la protezione ben oltre il lancio.

Svantaggi

• I prezzi della fascia premium si rivolgono a protocolli ben finanziati.
• Il modello di marketplace richiede ai clienti di valutare l'idoneità dei ricercatori.
• Un singolo incidente post-audit contestato suscita critiche ricorrenti.

8. Halborn

Halborn opera come società di sicurezza offensiva i cui hacker etici affrontano gli incarichi come simulazioni di attacco reali. La revisione dei contratti è solo una parte del suo lavoro. I team conducono anche test di penetrazione, campagne di phishing ed esercizi di ingegneria sociale contro le app web, le API e i processi interni che circondano un protocollo.

L'azienda riporta oltre 1.000 miliardi di dollari in asset protetti. Tra i suoi clienti figurano importanti network come Polygon e Avalanche, oltre a banche ed imprese che si stanno muovendo verso gli asset digitali. Questa filosofia incentrata su una superficie d'attacco più ampia si allinea con i dati sulle minacce del 2026, poiché i furti di wallet e l'ingegneria sociale superano ormai i meri exploit del codice come cause di perdite.

La certificazione SOC 2 e l'allineamento con i framework di sicurezza istituzionali aiutano a semplificare gli acquisti per le entità regolamentate. Le voci della classifica rekt di Halborn includono MonoX a 31,4 milioni di dollari e Seneca Protocol a 6,4 milioni di dollari, entrambi precedentemente valutati dai suoi team.

Vantaggi

• La copertura della superficie di attacco si estende ben oltre il codice degli smart contract.
• Le certificazioni semplificano gli acquisti per le istituzioni regolamentate.
• La mentalità offensiva rispecchia il modo in cui operano i veri avversari.

Svantaggi

• L'ambito aziendale aumenta i costi di coordinamento dell'engagement.
• Le metriche principali non suddividono il valore per blockchain.
• Due protocolli precedentemente valutati compaiono nella classifica rekt.

9. OpenZeppelin

OpenZeppelin mantiene le librerie di smart contract alla base di gran parte dell'ecosistema EVM, quindi i suoi revisori hanno una straordinaria familiarità con i pattern ereditati da molte codebase. L'azienda ha esaminato milioni di righe di codice su oltre 30 blockchain e protetto decine di miliardi in TVL per protocolli come Compound e Aave.

La sua partnership con la Ethereum Foundation sul lavoro di sicurezza a livello di protocollo rafforza lo status di OpenZeppelin come scelta consolidata per l'infrastruttura di base. Gli audit combinano un'approfondita revisione manuale con la verifica del deployment. Questo passaggio aggiuntivo riduce laerrata configurazione e lo scostamento post-audit, entrambe cause comuni di incidenti nel mondo reale anche dopo report puliti.

La domanda è la principale limitazione. Durante i periodi di lancio intensi, la pianificazione può allungarsi per i team più piccoli. La classifica rekt registra anche un incidente da 6 milioni di dollari su Audius che coinvolge codice precedentemente revisionato, dimostrando perché le implementazioni canoniche necessitano comunque di un monitoraggio continuo dopo il deployment.

Vantaggi

• La creazione di librerie offre un'esperienza senza pari sui pattern EVM.
• La verifica del deployment riduce lo scostamento di configurazione post-audit.
• La collaborazione con la Ethereum Foundation segnala la fiducia istituzionale.

Svantaggi

• Le code di pianificazione si allungano durante le stagioni di lancio intense.
• I risultati migliori richiedono una forte preparazione ingegneristica del cliente.
• Il focus su EVM limita l'idoneità per le architetture Non-EVM.

10. Quantstamp

Quantstamp ha protetto più di 200 miliardi di dollari di valore attraverso oltre 1.100 engagement dal 2017, posizionandosi tra i revisori Web3 dedicati più longevi. La sua copertura è veramente agnostica rispetto alla blockchain, estendendosi a Ethereum, Solana, Flow e Cardano. L'azienda ha anche auditato software critici per il consenso, inclusi i client Ethereum Prysm e Teku.

Molteplici sovvenzioni della Ethereum Foundation per la ricerca sullo scaling rafforzano la credibilità di Quantstamp a livello di protocollo. I suoi report sono noti per la trattazione dettagliata di rischi sottili come la dipendenza dall'ordinamento delle transazioni e la manipolazione dei timestamp. Questo rigore attrae i team DeFi istituzionali che necessitano di una documentazione in grado di resistere al vaglio di investitori e autorità di regolamentazione.

Una lunga storia operativa lascia anche più opportunità affinché si verifichino incidenti. La classifica rekt registra exploit presso Alpha Finance e Rari Capital, precedentemente auditati, per un totale di oltre 47 milioni di dollari. L'ampio archivio di report pubblici di Quantstamp consente almeno ai potenziali clienti di valutare direttamente la sua metodologia attuale.

Vantaggi

• L'esperienza a livello di protocollo include i client di consenso Ethereum.
• L'ampio archivio di report pubblici supporta la due diligence dell'acquirente.
• La copertura agnostica rispetto alla blockchain spazia tra ecosistemi EVM e Non-EVM.

Svantaggi

• Il processo standardizzato può sembrare generico per i design esotici.
• Due significativi incidenti post-audit sono presenti nella classifica rekt.
• I clienti devono valutare attivamente i rischi legati agli amministratori e al deployment.

Spiegazione semplice degli smart contract

Gli smart contract sono programmi basati su blockchain che vengono eseguiti automaticamente quando si verificano condizioni predefinite. Il codice vincolante sostituisce intermediari come banche e agenti di deposito a garanzia. Questi contratti alimentano token swap, mercati di prestito, economie di gaming, governance DAO e altre applicazioni su ogni principale network.

La permanenza è una delle loro caratteristiche distintive. Una volta effettuato il deployment, la logica di un contratto in genere non può essere modificata silenziosamente come il software tradizionale. Un singolo errore di valutazione può rimanere accessibile agli aggressori affinché lo studino indefinitamente, mentre miliardi di dollari possono trovarsi protetti da poche migliaia di righe di codice immutabile.

Anche il codice è pubblico. Chiunque può ispezionare il bytecode di un contratto tramite explorer come Etherscan e osservare gli indirizzi dei wallet crypto che interagiscono con esso. Gli aggressori operano quindi con informazioni perfette. La maggior parte degli exploit consiste in normali errori software esposti ad avversari che dispongono di tempo illimitato per studiarli e possono ricevere pagamenti istantanei.

Cos'è un'audit di uno smart contract?

Un audit di uno smart contract è una revisione di sicurezza indipendente in cui esperti esterni esaminano il codice sorgente di un protocollo prima o dopo il deployment. Il suo scopo è verificare che il contratto funzioni esattamente come promesso dalla documentazione, senza esporre comportamenti che un aggressore potrebbe sfruttare.

Ogni segnalazione viene documentata con una valutazione della gravità e un percorso di attacco di prova (proof-of-concept), seguito da indicazioni concrete per la risoluzione. Il settore si affida principalmente a due approcci complementari. I progetti seri utilizzano generalmente entrambi anziché considerarli alternative.

1. Audit tramite revisione manuale del codice

Gli audit manuali dipendono dal ragionamento umano. Ricercatori senior leggono la base di codice riga per riga e mappano i confini di fiducia tra i componenti. Verificano inoltre se le invarianti dichiarate resistono a condizioni avverse. Difetti di logica di business, percorsi di autorizzazione compromessi e pattern di aggiornamento pericolosi emergono spesso in questa fase, poiché raramente corrispondono alle firme dei sistemi di scansione.

Un'attenta revisione manuale va oltre i singoli contratti per esaminare il modo in cui i moduli interagiscono. I revisori tracciano il flusso di valore attraverso router, proxy, oracle e ruoli di amministrazione, simulando poi scenari di attacco realistici che possono includere situazioni di pressione economica. Una volta completata la correzione, verificano le modifiche applicate. Questa profondità rende la revisione manuale obbligatoria per qualsiasi protocollo che detenga capitali significativi.

2. Audit automatizzate e con metodi formali

L'analisi automatizzata può esplorare un numero enorme di percorsi di esecuzione in pochi minuti utilizzando analizzatori statici, fuzzer e test di invarianza. Strumenti come Slither ed Echidna identificano in modo affidabile problemi di reentrancy, difetti di intero e valori di ritorno non controllati. Gli sviluppatori possono eliminare questi errori comuni in anticipo, prima di impiegare costose ore di revisione umana.

La verifica formale si spinge oltre. Dimostra matematicamente che determinate proprietà sono valide secondo un modello definito, il che risulta particolarmente prezioso per componenti ad alto rischio come la contabilità dei vault o le state machine dei bridge. Le prove, tuttavia, sono affidabili solo quanto le specifiche su cui si basano. I metodi formali integrano quindi il giudizio umano esperto anziché sostituirlo.

Come fare l'audit di uno smart contract

Una metodologia di audit rigorosa aiuta a garantire che le vulnerabilità vengano identificate, prioritarizzate e risolte in modo verificabile prima che il codice inizi a gestire fondi reali degli utenti su una rete live.

I team di sicurezza professionisti seguono queste sette fasi:

1. Revisione della documentazione: i revisori studiano il whitepaper, le specifiche e i diagrammi di architettura per stabilire come il sistema debba comportarsi. Un difetto può essere definito solo in relazione a ciò che il codice dovrebbe fare.
2. Analisi automatizzata: analizzatori statici e fuzzer scansionano la base di codice alla ricerca di pattern di vulnerabilità comuni, risolvendo rapidamente i problemi di routine in modo che i revisori senior possano concentrarsi sui problemi che le macchine non possono rilevare.
3. Ispezione manuale della logica: ricercatori esperti esaminano il codice riga per riga e tracciano i flussi di valore insieme ai confini dei permessi, cercando difetti di logica di business ed economici specifici del design del protocollo.
4. Categorizzazione delle vulnerabilità: ogni problema confermato riceve una valutazione di gravità che va da critica a informativa. Questo fornisce agli sviluppatori una base oggettiva per decidere quali correzioni debbano essere completate prima del lancio.
5. Consegna del report iniziale: il team riceve un documento dettagliato che copre ogni scoperta, il relativo scenario di exploit e specifiche indicazioni di rimedio. Tale report diventa la checklist operativa durante la fase di correzione.
6. Fase di correzione: gli sviluppatori affrontano ogni problema, idealmente aggiungendo nuovi test di copertura, documentando al contempo i rischi accettati quando il team sceglie deliberatamente di non alterare il comportamento.
7. Verifica finale: i revisori ispezionano nuovamente ogni patch per assicurarsi che il problema sia stato effettivamente risolto e che la correzione non abbia introdotto nuove vulnerabilità prima della pubblicazione del report finale.

Tendenze nella sicurezza degli smart contract nel 2026

Il panorama delle minacce nel 2026 differisce in modo sostanziale dall'ambiente per il quale molte metodologie di audit sono state originariamente progettate. Gli aggressori si sono mossi a monte, mentre i revisori stanno rapidamente industrializzando i propri strumenti ricorrendo all'intelligenza artificiale.

Questi cambiamenti devono influenzare l'ambito dell'incarico. Una revisione progettata attorno alle minacce dell'era 2022 può fallire nell'esaminare i vettori che oggi stanno prosciugando i protocolli.

Gli aggressori si stanno spingendo oltre il codice

I dati H1 2026 di CertiK identificano la compromissione dei wallet come il vettore più distruttivo, responsabile di 444 milioni di dollari di perdite in soli 33 incidenti. Il totale è stato guidato dai 291 milioni di dollari della compromissione RPC di KelpDAO. Il phishing ha rappresentato altri 366 milioni di dollari, con quattro operazioni di ingegneria sociale mirata che hanno causato circa l'85% di tali perdite prendendo di mira vittime ad alto valore accuratamente selezionate.

Le vulnerabilità del codice sono rimaste la categoria più comune, comparendo in 204 incidenti, ma hanno causato la cifra relativamente modesta di 152 milioni di dollari. Una quota crescente ha riguardato contratti vecchi di oltre un anno, mentre gli attaccanti tornavano sistematicamente a colpire distribuzioni legacy. Nel frattempo, Chainalysis attribuisce ai soggetti statali nordcoreani 2,02 miliardi di dollari dei furti registrati nel 2025.

L'ambito degli audit deve ora includere la gestione delle chiavi e l'infrastruttura di distribuzione, oltre alla sicurezza operativa e a Solidity. Le aziende che offrono penetration testing, monitoraggio e risposta agli incidenti affrontano i punti in cui si verificano effettivamente le perdite, anziché limitarsi a gonfiare le fatture. Gli acquirenti dovrebbero tenere conto di questo cambiamento quando confrontano le proposte d'incarico.

L'AI entra nello stack di audit

L'intelligenza artificiale ha modificato sia gli attacchi che la difesa nel 2026. Quasi tutte le principali aziende offrono ora prodotti assistiti dall'AI, pur sostenendo che i ricercatori umani esperti mantengono il giudizio finale sui risultati.

Ecco come l'AI sta cambiando la sicurezza degli smart contract quest'anno:

• Revisione assistita: Piattaforme come Sherlock AI e l'analisi nativa per l'AI di Cantina pre-analizzano le codebase alla ricerca di pattern noti, consentendo ai ricercatori umani di dedicare le limitate ore di revisione a difetti di logica inediti.
• Triage dei risultati: I modelli di machine learning deduplicano e classificano automaticamente per gravità migliaia di candidature ai contest, riducendo i tempi di valutazione che un tempo richiedevano settimane di attenzione da parte dei ricercatori senior per ogni competizione.
• Verifica formale: L'AI aiuta a generare le specifiche matematiche richieste dai motori di prova, riducendo la barriera dei costi storica che limitava i metodi formali ai protocolli più ricchi.
• Strumenti per gli attaccanti: Gli avversari utilizzano gli stessi modelli per scansionare il bytecode distribuito alla ricerca di pattern sfruttabili su scala, il che spiega in parte l'aumento nel 2026 degli attacchi a contratti più vecchi e dimenticati.
• Sicurezza degli agenti: I protocolli integrano sempre più spesso agenti AI che detengono chiavi ed eseguono transazioni. Aziende come CertiK offrono ora prodotti dedicati che valutano le competenze di agenti di terze parti prima dell'esecuzione.
• Supervisione umana: Le aziende affidabili continuano a sottoporre i risultati generati dall'AI a ricercatori esperti, poiché i modelli possono allucinare con sicurezza le vulnerabilità pur tralasciando gli attacchi economici che dipendono da un autentico ragionamento contestuale.

Come scegliere un revisore di smart contract

Scegliere un revisore è fondamentalmente un esercizio di gestione del rischio. Stai acquistando l'attenzione di esperti avversari prima che i veri aggressori abbiano l'opportunità di colpire su mainnet. Valutare competenza, storico, tempistiche e costi in modo strutturato riduce il rischio di un costoso disallineamento.

Passaggio 1: Valuta l'esperienza tecnica

Associa l'esperienza dimostrata al tuo stack esatto. Anche i revisori di Solidity eccellenti potrebbero trascurare problemi critici in codebase scritte in Rust, Cairo o Move.

Fattori chiave da considerare durante questa valutazione:

1. Padronanza del linguaggio: Conferma un'esperienza profonda e recente con il tuo linguaggio specifico, che sia Solidity, Vyper, Rust o Move, e cerca report pubblicati all'interno di quell'ecosistema.
2. Adattamento dell'architettura: Verifica che il team abbia già effettuato audit su design comparabili. I mercati di prestito, i cross-chain bridge e le infrastrutture NFT presentano modalità di errore differenti.
3. Strumenti avanzati: Chiedi quali fuzzer, analizzatori statici e motori di verifica formale il team utilizzi regolarmente, e se sviluppi o si limiti a concedere in licenza la propria toolchain.
4. Produzione di ricerca: Favorisci le aziende che pubblicano ricerche sulle vulnerabilità e contribuiscono con strumenti open source. I ricercatori attivi hanno maggiori probabilità di rimanere aggiornati man mano che le tecniche di attacco cambiano tra un incarico e l'altro.

Passaggio 2: Analizza il track record di sicurezza

Le metriche di marketing contano poco senza una verifica indipendente. Prima di stilare una lista di candidati, confronta ogni affermazione con report di audit pubblici e database di incidenti neutrali.

Valuta queste metriche per misurarne l'affidabilità:

1. Incidenti post-audit: Cerca nella classifica di rekt gli exploit che hanno coinvolto clienti precedentemente sottoposti ad audit. Determina quindi se la falla fosse inclusa nell'ambito, esclusa dall'ambito o aggiunta dopo la revisione.
2. Trasparenza dei report: Dai la preferenza alle aziende che pubblicano report completi. Risultati nascosti e riassunti vaghi rendono difficile valutare la reale profondità della revisione.
3. Calibro dei clienti: Cerca la fidelizzazione da parte di acquirenti sofisticati come exchange, fondazioni L1 e protocolli blue-chip, poiché clienti ricorrenti e informati costituiscono un significativo segnale di qualità.
4. Scala verificata: Tratta i totali degli asset protetti come dati di marketing indicativi. Dai maggiore peso a fatti quantificabili come report pubblicati, clienti nominati ed elenchi di ricercatori.

Passaggio 3: Valuta le tempistiche di consegna

I calendari di lancio possono determinare autonomamente la lista dei candidati. Le principali società di audit privato potrebbero essere prenotate per settimane o mesi, mentre le piattaforme competitive possono talvolta iniziare entro pochi giorni.

Considera questi punti riguardo alla pianificazione e alla velocità:

1. Code di prenotazione: Richiedi per iscritto la data di inizio realistica più vicina. Durante i periodi di maggiore attività, le aziende prestigiose comunicano spesso attese da quattro a dodici settimane.
2. Durata della revisione: Allinea la tempistica prevista all'ambito, che va da pochi giorni per i token semplici fino a un massimo di due mesi per bridge complessi o architetture innovative.
3. Verifica della correzione: controlla che il preventivo includa la revisione successiva delle patch. Un audit senza la verifica della risoluzione lascia inesplorata la parte più pericolosa del processo.
4. Risposta di emergenza: stabilisci se sia disponibile un supporto rapido per incidenti in tempo reale o patch urgenti, preferibilmente supportato da impegni contrattuali sui tempi di risposta.

Passaggio 4: Confronta le strutture di prezzo

La spesa per l'audit dovrebbe riflettere il valore a rischio piuttosto che quanto capita di pagare a progetti concorrenti. Sapere cosa determina il preventivo rende anche più semplice negoziare l'ambito in modo intelligente anziché accettare semplicemente una cifra.

I fattori che influenzano il costo totale includono:

1. Dimensione della codebase: i prezzi si basano principalmente sulle righe di codice sorgente e sulla complessità architetturale. Rimuovere il codice morto prima di definire l'ambito può quindi ridurre direttamente la fattura.
2. Profondità della metodologia: la verifica formale e i team composti da più ricercatori costano più di una revisione standard. Tali sovrapprezzi sono giustificati principalmente per componenti che proteggono valore significativo o irreversibile.
3. Sovrapprezzo del marchio: le aziende affermate fanno pagare considerevolmente di più rispetto alle boutique emergenti. A volte questo sovrapprezzo compra un talento più approfondito; in altri casi, acquista poco più del logo sul report.
4. Retainer continuativi: monitoraggio continuo, gestione dei programmi di bug bounty e ri-audit programmati trasformano la sicurezza in una spesa operativa. Per i protocolli sviluppati attivamente, questo modello supera spesso una revisione una tantum.

Quanto costa un audit di smart contract nel 2026?

I prezzi degli audit di smart contract coprono due interi ordini di grandezza nel 2026. I preventivi variano in base alla dimensione della codebase e alla complessità architetturale, oltre che all'urgenza e alla fascia di reputazione dell'azienda assunta.

Le tipiche fasce di prezzo per il 2026 si suddividono come segue:

• Token semplici: contratti ERC-20 standard o NFT di base variano generalmente da 5.000$ a 15.000$ con aziende boutique e spesso si concludono nell'arco di una singola settimana lavorativa.
• DeFi standard: sistemi di staking, vault e protocolli a media complessità costano solitamente da 25.000$ a 100.000$. La maggior parte degli incarichi seri di lending o DEX rientra in questo intervallo.
• Sistemi complessi: bridge, circuiti zero-knowledge e architetture innovative raggiungono comunemente da 80.000$ a oltre 250.000$, riflettendo il lavoro di più settimane e i molteplici ricercatori che queste superfici di attacco richiedono effettivamente.
• Gare di audit (contest): le piattaforme competitive utilizzano montepremi che vanno da circa 20.000$ a 200.000$, mentre competizioni di punta come quella di Uniswap v4 hanno superato i 2 milioni di dollari.
• Verifica formale: il lavoro di prova matematica aggiunge un sovrapprezzo significativo ai prezzi di revisione standard ed è solitamente riservato alla contabilità dei vault, ai bridge e ai componenti critici per il consenso.
• Sicurezza continua: abbonamenti di monitoraggio, bug bounty gestiti e ri-audit tramite retainer introducono costi ricorrenti. Sempre più spesso, questi servizi separano i protocolli sottoposti a un audit una tantum da quelli che praticano una sicurezza continua.

Vulnerabilità comuni degli smart contract

La maggior parte degli exploit ripete pattern familiari. Comprendere queste categorie aiuta gli sviluppatori a scrivere codice più difensivo, offrendo al contempo agli acquirenti un modo per verificare se una proposta di audit copre le giuste superfici di attacco.

Queste sono le classi di vulnerabilità più dannose nel 2026:

• Attacchi di reentrancy: le chiamate esterne che rientrano in un contratto durante l'esecuzione continuano a mietere vittime, da The DAO fino all'exploit da 42 milioni di dollari di GMX nel 2025.
• Errori di controllo degli accessi: autorizzazioni mancanti o configurate in modo errato possono consentire agli aggressori di invocare funzioni privilegiate. Questo è stato un fattore nell'exploit da 197 milioni di dollari di Euler Finance e in innumerevoli drenaggi minori.
• Errori di calcolo e arrotondamento: difetti di precisione nell'aritmetica dei pool hanno causato la perdita di 128 milioni di dollari di Balancer alla fine del 2025, nonché l'exploit di overflow da 223 milioni di dollari di Cetus su SUI.
• Manipolazione degli oracoli: distorcendo i feed dei prezzi, gli aggressori possono contrarre prestiti contro collaterale artificialmente gonfiato. Questo è stato il meccanismo alla base del drenaggio da 115 milioni di dollari di Mango Markets e di molti attacchi successivi.
• Exploit di flash loan: prestiti istantanei non collateralizzati danno agli aggressori accesso a capitali enormi all'interno di una singola transazione, consentendo di amplificare difetti minori di prezzo o contabili in drenaggi completi.
• Abuso dell'aggiornamento dei proxy: percorsi di aggiornamento debolmente protetti possono abilitare swap di logica dannosi, come è avvenuto quando ZKasino ha reindirizzato 33 milioni di dollari di depositi degli utenti tramite una modifica non autorizzata.
• Compromissione di chiavi e infrastrutture: Le chiavi di firma rubate e gli endpoint RPC dirottati hanno generato le perdite maggiori del 2026, tra cui l'incidente da 291 milioni di dollari di KelpDAO, aggirando del tutto la logica dei contratti.
• Vulnerabilità dei bridge cross-chain: Le lacune nella verifica delle firme e i bug nel passaggio dei messaggi rendono i bridge tra i bersagli più persistenti. L'hack da 325 milioni di dollari di Wormhole rimane l'esempio emblematico.

Gli utenti devono inoltre verificare regolarmente la propria esposizione. Un punto di partenza pratico è imparare a revoke token permissions per i contratti di cui non si fidano più.

Considerazioni finali

Per un team blockchain, la scelta di un partner di sicurezza rimane una delle decisioni a più alto leverage disponibili. Una singola vulnerabilità trascurata può azzerare i risultati di qualsiasi altro sforzo di crescita.

Nessun audit può garantire la sicurezza. I dati del 2026 mostrano inoltre che gli attaccanti aggirano sempre più spesso il codice dei contratti. Ciononostante, le revisioni stratificate condotte da aziende affidabili riducono drasticamente la categoria dei fallimenti evitabili.

Gli utenti dei protocolli possono applicare lo stesso standard quando valutano i progetti. Molteplici audit indipendenti, bug bounty attive e un monitoraggio continuo sono segnali più forti rispetto a un singolo PDF datato.

La nostra metodologia

Abbiamo esaminato le società di audit di smart contract che erano attive e accettavano nuovi incarichi nell'agosto 2026. Le affermazioni sono state verificate tramite fonti primarie anziché pagine di marketing. La classifica utilizza sei criteri:

• Trust Score: La valutazione di Datawallet in trentesimi, o meglio in decimi ponderati sui risultati di audit verificati, sulla competenza dei ricercatori, sulla trasparenza dei rapporti e su come ciascuna azienda ha gestito gli incidenti presso i clienti recensiti in precedenza.
• Storico post-audit: Ciascuna azienda è stata incrociata con la classifica di rekt.news. Abbiamo registrato ogni incidente attribuito e successivamente esaminato l'ambito dell'incarico originale per determinare se il codice violato fosse stato effettivamente esaminato.
• Metriche verificate: Il numero di audit, le cifre relative agli asset protetti e il numero di ricercatori sono stati ricavati dal sito ufficiale di ciascuna azienda e dai rapporti pubblicati nell'agosto 2026. Le cifre che non possono essere confermate in modo indipendente vengono segnalate.
• Ambito dei servizi: Abbiamo esaminato ciò che include ogni incarico, coprendo la profondità della revisione manuale e della verifica formale, nonché il monitoraggio, la gestione dei bounty, la risposta agli incidenti e la verifica delle correzioni post-rimedi.
• Copertura dell'ecosistema: Il supporto di chain e linguaggi è stato verificato tramite rapporti pubblicati anziché dichiarazioni generiche. Una reale competenza nei sistemi Solana, Move o zk dovrebbe essere visibile nei contenuti pubblici di un'azienda.
• Rilevanza di mercato: Abbiamo preso in considerazione i segnali di domanda del 2026, come le revisioni dei fork principali di Ethereum Foundation e il lavoro di conformità degli exchange ai sensi del MiCA, insieme all'adozione di modelli di concorso e assistiti da AI.

La ricerca si è conclusa all'inizio di settembre 2026 e lo stato attivo di ciascuna azienda è stato riverificato alla data di pubblicazione. La nostra metodologia editoriale spiega come è stata verificata ciascuna affermazione.