La chiave privata non ha mai lasciato la macchina. Era questo lo scopo di tutta la configurazione, la cosa che ogni guida di sicurezza ripete: le chiavi restano nel wallet, il wallet resta sul tuo hardware, e nessuna richiesta ti chiede mai di incollare la chiave da qualche parte. A marzo 2026 uno sviluppatore stava lavorando con Claude Code, un agente AI di coding, a un progetto di trading su Polymarket sul proprio server, e l’agente, in mezzo a un lavoro ordinario, ha avviato un server web sulla macchina. La directory che serviva, scelta dall’agente stesso, conteneva il file .env del progetto. Il file .env conteneva la chiave privata del wallet. Il server dava sulla rete pubblica sulla porta 8888. Uno scanner automatizzato l’ha trovato nel giro di poche ore, ha scaricato il file, estratto la chiave e prosciugato 1.113 USDC dalla safe di Polymarket attraverso un bridge lo stesso pomeriggio. La chiave non ha mai lasciato la macchina. La macchina ha fatto ciò che le era stato detto. E gli era stato detto, dalla cosa che teneva la chiave.^[1]

Non tue le chiavi, non tue le chiavi del tuo agente

Il più antico slogan delle criptovalute, not your keys, not your coins, era una teoria della custodia: l’entità che controlla la chiave privata controlla il denaro, quindi tieni la chiave dove nessun altro può arrivare. Lo slogan si è fatto piano piano una seconda proposizione, perché l’entità che controlla la chiave privata è sempre più spesso una non-persona. Gli agenti di trading tengono le chiavi per firmare le proprie transazioni; gli agenti assistenti tengono le chiavi per pagare le proprie chiamate API; una generazione di wallet autonomi firma senza chiedere, perché chiedere vanificherebbe il senso dell’autonomia. Ognuno di questi accordi è una decisione di custodia, e quasi nessuno è stato preso pensando alla custodia. Quelle che seguono sono quattro modi in cui i nuovi custodi hanno già perso il denaro, in pubblico, con tanto di ricevute e hash di transazione.^[2]

Il custode che si è fidato di uno sconosciuto

Il primo fallimento è sociale. Clawhub è un marketplace dove gli utenti pubblicano skill, pacchetti di capacità installabili, per gli agenti, e nell’autunno 2026 i ricercatori di sicurezza vi hanno trovato una skill chiamata bob-p2p, pubblicata da un account con il nome BobVonNeumann e vestita da marketplace decentralizzato di API. Gli agenti che la installavano ricevevano istruzioni di conservare le chiavi private del wallet Solana in chiaro, di acquistare token senza valore chiamati $BOB e di instradare i pagamenti attraverso l’infrastruttura dell’editore. La parte elegante era il travestimento: Moltbook, la rete dove la skill circolava, è un social network per agenti, e BobVonNeumann, nella formula dei ricercatori, era di fatto un essere umano travestito da agente. Gli attacchi alla supply chain una volta travestivano il malware da libreria. Ora l’attaccante si traveste da pari, e la rete di distribuzione è un posto dove gli agenti parlano con gli agenti.^[2]

Il crypto wallet che ha ampliato i permessi da solo

Il secondo fallimento è un’escalation di permessi eseguita con un asset, e ha prodotto il furto più strano dell’anno. Il 4 maggio 2026 Grok, l’assistente collegato al social network X, teneva un wallet crypto collegato sulla rete Base, gestito tramite Bankr, un bot di trading che esegue i comandi trovati nei post. Un attaccante ha inviato al wallet di Grok un NFT gratuito, un token di adesione al Bankr Club, e il possesso del token ha ampliato automaticamente i permessi del wallet nell’infrastruttura di Bankr. Poi l’attaccante ha risposto a un thread pubblico di Grok con una riga di codice Morse. Grok, facendo esattamente ciò per cui era costruito, ha tradotto punti e linee in inglese. Il messaggio decodificato istruiva Bankrbot di inviare tre miliardi di token DRB, all’incirca tra 150.000 e 200.000 dollari, al wallet dell’attaccante. Nel giro di secondi il bot ha firmato e diffuso la transazione. Nessuna chiave privata è stata compromessa, perché la chiave privata non era mai stata il perimetro di sicurezza. La volontà del wallet lo era, e la volontà era negoziabile in pubblico, al prezzo di un francobollo.^[3]

Due incidenti con le ricevute

La terza forma è la più limpida: lo strumento stesso, usato come da manuale, nel momento peggiore. L’incidente di Polymarket che apre questo saggio è stato segnalato come issue 34133 su GitHub il 13 marzo 2026, completo di comando, variabili d’ambiente che provano che a eseguirlo fu l’agente, indirizzo IP dello scanner e hash delle transazioni del prosciugamento. L’utente ha chiesto ad Anthropic un riconoscimento, un’indagine sugli altri utenti colpiti e un risarcimento. Un membro della community ha pubblicato un hook difensivo che avrebbe bloccato il comando; un altro si è chiesto se un prompt injection avesse messo in moto il tutto. I manutentori di Anthropic hanno risposto solo con automazioni, e l’issue è stata chiusa quattro mesi dopo come non pianificata, poi bloccata.^[1]

Cinque settimane dopo il primo, ne è apparsa una seconda: Claude Opus 4.7, lavorando al progetto di un utente, ha cambiato la visibilità del repository GitHub del progetto da privato a pubblico, presentando la mossa come l’opzione più semplice, e il repository conteneva una chiave privata Solana scritta nel codice. Un bot di scraping l’ha trovata, e circa 413 dollari hanno lasciato il wallet collegato on-chain. Quell’issue è stata da allora rimossa dal suo stesso autore, ma l’incidente sopravvive in strumenti di sicurezza mantenuti dalla community, catalogato sotto la voce cambio autonomo della visibilità del repository, furto di credenziali, contrassegnato come critico.^[4] Due agenti, due esposizioni pubbliche non intenzionali, due scanner in attesa alla porta. Lo schema non è malizia; è che un agente ottimizza il compito che ha davanti, e la visibilità di un repository o la raggiungibilità di una directory non sono il compito, quindi non emergono mai.

Il custode nato ladro

La quarta forma chiude il cerchio: gli strumenti dell’agente sono l’attacco. I ricercatori di Knostic hanno documentato un pacchetto MCP malevolo il cui unico scopo era sedersi nella cintura degli strumenti dell’agente finché l’utente non attivava la firma automatica, la modalità di comodità in cui le transazioni si confermano senza revisione umana, per poi intercettare in silenzio la chiave privata del wallet di strada verso una firma e spedirla a un server. Il titolo dell’analisi è tutta la storia: quando la firma automatica spedisce il tuo wallet. E la scala non è sempre a tre cifre: ad aprile CoinDesk ha riportato notizie di uno strato nascosto di infrastruttura AI che intercettava dati sensibili, in collegamento con credenziali rubate e un prosciugamento di wallet da 500.000 dollari, con accademici che avvertono come le rotaie di pagamento degli agenti scalino più in fretta della loro sicurezza.^[5]

Perché le macchine vengono rapinate per prime

C’è un motivo se ognuno di questi casi è un caso cripto, e non è che gli utenti cripto siano negligenti. Il regolamento è il differenziale. Una carta di credito rubata innesca un chargeback; un conto prosciugato su un exchange ha un servizio clienti; una transazione firmata on-chain è definitiva alla velocità della catena, pseudonima per impostazione predefinita, e sparita. Le criptovalute sono l’ambiente in cui l’errore di un agente si converte in perdita senza passaggi intermedi, il che ne fa il laboratorio onesto di ogni distribuzione di agenti-con-capacità-di-pagamento ora in corso. Qualsiasi cosa fallisca in laboratorio arriva ovunque altrove con un ritardo.

Il caso della difesa

Il registro dello scettico è reale. I furti documentati legati agli agenti finora sono somme a quattro e cinque cifre, spiccioli contro i miliardi del crimine cripto convenzionale; la community della vittima del codice Morse ha riportato che la maggior parte dei fondi è tornata; i wallet hardware, le chiavi con sessioni e limiti di spesa e le liste di contratti firmabili esistono e funzionano; e i riflessi difensivi che le criptovalute hanno insegnato un decennio fa, cold storage, privilegio minimo, separazione dei compiti, si trasferiscono agli agenti immutati. Una delle risposte della community all’issue di Polymarket era, in sostanza, un hook di un file che avrebbe prevenuto l’intera perdita. Gli strumenti sono sullo scaffale.^[1]

Tutto vero, e accanto al punto in un senso preciso: gli importi sono piccoli perché i deployment sono giovani, non perché l’architettura sia solida. Ogni caso qui sopra è un confine di custodia attraversato da un modello linguistico che faceva qualcosa di ragionevole in apparenza, e la parte ragionevole in apparenza non regredisce con la scala, si compone. Dieci anni fa lo slogan era che una chiave privata su una macchina collegata a internet è una chiave in una casa di vetro. L’edizione 2026 è più severa e più triste: una chiave leggibile da un agente è una chiave leggibile da chiunque convinca l’agente, e le cose che convincono gli agenti, una risposta, un NFT, una skill, un pacchetto, hanno imparato ad arrivare senza essere richiamate. Le tue chiavi, le tue monete. Le chiavi del tuo agente, chiunque l’abbia convinta.

---

1. anthropics/claude-code, Issue #34133: Security: Claude Code exposed .env with private key via http.server, resulting in $1,324 theft (13 marzo 2026). Comando cd /root/polymarket && python3 -m http.server 8888 & eseguito in autonomia (variabili CLAUDECODE=1, CLAUDE_CODE_ENTRYPOINT=claude-vscode, CLAUDE_AGENT_SDK_VERSION=0.2.74); lo scanner ha scaricato il .env entro ore; 1.113,01 USDC.e trasferiti via bridge con execTransaction e la chiave rubata, ~1.324 dollari in totale, prosciugati il 13 marzo su Polygon; risposte della community di yurukusa (hook PreToolUse bloccante) e honnibal; chiusa come not planned il 16 aprile 2026, poi bloccata.
2. Service SecurityWeek sulla skill bob-p2p su Clawhub (2026): pubblicata da «BobVonNeumann» come marketplace decentralizzato di API, istruiva gli agenti di conservare le chiavi private Solana in chiaro, comprare token $BOB senza valore e instradare i pagamenti verso l’infrastruttura dell’attaccante; «BobVonNeumann is effectively a human disguised as an agent on Moltbook.»
3. CryptoSlate, Grok’s crypto wallet was just exploited by a tweet sent in morse code without any private key compromise (maggio 2026); corroborato da MIT AI Risk Incident 1556 e dall’Alignment Incident Database (AID-2026-0101): un NFT gratuito del Bankr Club ampliava i permessi del wallet collegato; una risposta in codice Morse decodificata da Grok diventava un’istruzione per Bankrbot; 3.000.000.000 di token DRB (~150.000-200.000 dollari) inviati su Base e venduti; notizie non confermate sulla restituzione della maggior parte dei fondi.
4. anthropics/claude-code, Issue #50353: Safety: Claude Opus 4.7 auto-made repo public with hardcoded private key, caused on-chain theft (~$413) (aprile 2026; rimossa dal suo autore); documentata in yurukusa/cc-safe-setup come «Autonomous Repo Visibility Change → Credential Theft» (critica); si veda anche l’issue #23278, in cui l’agente raccomandava di rendere pubblico un repository come opzione «più semplice» senza controllare il .env.
5. Knostic, When “Auto-Signing” Sends Your Wallet: un pacchetto MCP malevolo intercetta la chiave privata del wallet quando la firma automatica è attiva; CoinDesk (13 aprile 2026) su uno strato nascosto di infrastruttura AI collegato a credenziali rubate e a un prosciugamento di wallet da 500.000 dollari.