Una transazione firmata in DeFi viene eseguita automaticamente da uno smart contract: dopo l’inclusione in un blocco, il trasferimento non può essere annullato né ripristinato.
DeFi dà controllo, ma elimina le procedure di annullamento e rimborso
DeFi (decentralized finance) indica servizi on-chain basati su smart contract, dove swap, deposito e prestito vengono eseguiti tramite una transazione dal wallet, senza operatore e senza procedura di annullamento. Un errore di indirizzo, un approve eccessivo o un parametro di operazione errato vengono fissati nella blockchain dopo la firma e non possono essere corretti dal supporto.
Uno smart contract è un programma nella blockchain che esegue automaticamente regole predefinite: riceve una transazione, verifica le condizioni e trasferisce token rigorosamente secondo il codice; per questo, dopo la firma e l’inclusione in un blocco, l’azione è considerata definitiva e all’interno della rete non esiste alcuna “cancellazione”.
Obiettivo del materiale: suddividere i rischi DeFi in gruppi e collegare ogni gruppo a operazioni concrete: swap su DEX, lending con collaterale, farming con ricompense in token, bridge cross-chain, derivati on-chain.
Un servizio centralizzato a volte utilizza il blocco manuale di un’operazione, una procedura di rimborso, controlli sui prelievi sospetti e un supporto che può fermare un’azione errata prima dell’addebito finale. In DeFi, lo smart contract esegue la transazione firmata secondo il codice e non verifica l’intenzione dell’utente.
Se il capitale non tollera perdite parziali, l’irreversibilità di una transazione on-chain aggiunge rischio: un solo errore di firma può svuotare l’intero saldo del token o trasferire il diritto di spesa tramite approve.
La perdita tecnica in DeFi nasce da codice e infrastruttura: bug dello smart contract, errore dell’oracle, compromissione di una chiave admin, attacco a un bridge.
Rischi tecnici DeFi: smart contract, upgrade, oracle, bridge, frontend e RPC
Il rischio tecnico in DeFi è il rischio di perdere fondi a causa di errori nella logica degli smart contract, upgrade del codice, oracle (fonti di prezzo), bridge e infrastruttura di accesso (interfaccia web e provider RPC), non per una variazione del prezzo di mercato. Un exploit di smart contract scala rapidamente (un exploit è l’uso di un errore nel codice), perché l’attaccante ripete la stessa azione e preleva liquidità con una serie di transazioni finché il contratto accetta operazioni.
1) Vulnerabilità degli smart contract
Un bug dello smart contract si manifesta quando il contratto registra lo stato della posizione o il saldo in un ordine errato rispetto al trasferimento, quindi il contratto trasferisce asset sulla base di uno stato sbagliato.
- Reentrancy è un errore in cui il contratto può essere richiamato di nuovo prima dell’aggiornamento del saldo, quindi il pagamento avviene più volte di seguito.
- Gli errori di aritmetica e arrotondamento nei calcoli si ripetono in una serie di chiamate e accumulano una discrepanza.
- L’assenza di verifica dei permessi consente di chiamare funzioni admin o prelevare fondi tramite una funzione accessibile a tutti.
- I token con regole non standard di trasferimento o spesa possono comportarsi diversamente, facendo calcolare in modo errato saldo o limiti al protocollo.
Con questo ordine di operazioni, i fondi possono essere addebitati più volte di seguito prima dell’aggiornamento del saldo.
2) Upgrade, chiavi admin e centralizzazione della governance
Un protocollo upgradeable consente di modificare logica o parametri dopo il deposito, quindi il rischio dipende dalle chiavi admin e dalla procedura di aggiornamento, non solo dal codice iniziale.
- Una chiave admin unica senza multisig (multifirma) aumenta il rischio di compromissione della governance (perdita o furto di quella chiave), dopo cui le regole del protocollo possono essere modificate unilateralmente.
- L’assenza di timelock (ritardo di esecuzione) rende immediata la modifica dei parametri per il titolare della posizione.
- La modifica dei coefficienti di collaterale, delle commissioni o della fonte di prezzo dell’oracle cambia le soglie di liquidazione senza azioni dell’utente.
- Gli errori entrano più spesso in release e upgrade, perché viene modificato il codice di un protocollo già operativo con liquidità attiva.
Il deposito resta in un contratto upgradeable, dove il proprietario della chiave admin può modificare la logica del protocollo; l’audit (verifica del codice) della vecchia versione non protegge dagli errori dell’aggiornamento.
3) Componibilità e catene di dipendenze
Una strategia DeFi richiama spesso più contratti e servizi (esegue in sequenza azioni in diversi smart contract nell’ambito di una sola operazione), quindi un revert (annullamento della transazione per errore) o una pausa (pause) di un componente esterno bloccano il prelievo e la gestione della posizione in un momento di stress.
- L’errore può trovarsi in un contratto esterno richiamato all’interno della transazione del protocollo.
- Librerie e integrazioni aumentano il numero di indirizzi da cui dipendono un deposito o un prelievo.
- Un componente condiviso (libreria, router, oracle) coinvolge più protocolli contemporaneamente.
- Una strategia a più passaggi aumenta la probabilità di fallimento, perché un singolo guasto annulla tutta la transazione.
Se una transazione richiama più contratti esterni, il revert di qualunque contratto esterno annulla l’intera transazione e blocca il prelievo fino al ripristino del contratto esterno.
4) Oracle e distorsioni di prezzo
Un oracle trasmette il prezzo allo smart contract, quindi un prezzo distorto modifica i calcoli del margine, le soglie di liquidazione e i pagamenti finali sulla posizione.
- La manipolazione del prezzo è più semplice nei pool sottili, perché una piccola operazione sposta maggiormente il prezzo spot.
- L’assenza di TWAP (time-weighted average price) porta a usare un breve picco del prezzo spot per il calcolo nella finestra di aggiornamento.
- Un filtro debole delle operazioni anomale nella fonte di prezzo trasferisce “rumore” nel calcolo del collaterale e del debito.
- Nel lending (quando si prende un prestito con collaterale) e nei derivati, il contratto vende automaticamente il collaterale se il prezzo dell’oracle è considerato troppo basso, quindi un errore di prezzo può portare alla vendita del collaterale anche senza un reale calo del mercato.
Se un oracle trasmette un prezzo gonfiato o sottostimato, il contratto di lending o derivati ricalcola il margine e può liquidare il collaterale a una soglia errata.
5) Bridge cross-chain
Un bridge blocca un asset in una rete ed emette un asset wrapped in un’altra rete, quindi il rischio si concentra nei validatori (partecipanti che confermano i trasferimenti tra reti), nelle chiavi di governance e nei contratti ausiliari del bridge.
- Uno schema complesso di validatori e multifirme aumenta il numero di componenti la cui compromissione può rompere emissione o prelievo.
- La concentrazione di liquidità rende il bridge un obiettivo prioritario per gli attacchi, perché un solo incidente coinvolge un grande volume di fondi.
- Un bridge nuovo ha meno verifiche reali in situazioni non standard, quindi guasti inattesi possono comparire più tardi.
- Un guasto del bridge blocca il prelievo e interrompe la catena di operazioni cross-chain tra reti.
In caso di guasto dei validatori o perdita delle chiavi di governance, il token wrapped resta senza copertura e non può essere restituito alla rete di origine.
6) Frontend e infrastruttura RPC
L’utente firma transazioni tramite un’interfaccia web, mentre l’invio e la lettura dello stato passano da un provider RPC (servizio tramite cui il wallet e il sito dApp si collegano alla blockchain), quindi la sostituzione dell’interfaccia o un errore RPC modificano i parametri di firma e la gestione della posizione.
- La sostituzione dell’interfaccia inserisce un altro indirizzo di contratto o altri parametri di chiamata prima della firma.
- Un errore RPC mostra uno stato della transazione o un saldo errato, quindi l’utente ripete l’azione e paga due volte il gas.
- La limitazione di accesso al sito dApp elimina il canale di gestione abituale, anche se i contratti restano nella rete.
- La verifica dell’indirizzo del contratto e dei parametri di chiamata nel wallet prima della firma limita il rischio di sostituzione.
Se l’interfaccia sostituisce l’indirizzo del contratto, il wallet firmerà una chiamata a un altro contratto; lo smart contract eseguirà la chiamata e addebiterà token secondo i dati firmati.
La perdita in DeFi si cristallizza spesso proprio all’uscita da una posizione: commissioni gas, slippage, price impact e calo del prezzo del token di ricompensa riducono la quantità finale dell’asset di base dopo la chiusura.
Perché le operazioni DeFi diventano in perdita all’uscita
Molte perdite in DeFi si fissano non all’ingresso, ma all’uscita: commissione di rete (gas), price impact (peggioramento del prezzo per insufficiente profondità del pool), calo del prezzo del token di ricompensa e peggioramento della liquidità non possono essere annullati dopo la firma.
Le operazioni DeFi vengono eseguite da smart contract senza operatore, quindi un errore di firma o di parametri non viene corretto dal supporto. Nei servizi centralizzati, una parte dei rischi operativi è coperta da limiti, ritardi, controlli manuali e procedure di rimborso; in DeFi, il risultato dipende dal codice del protocollo, dalla liquidità del mercato e dai parametri firmati dall’utente.
La perdita nasce senza hack quando la transazione di ingresso è confermata e la posizione è aperta, ma la chiusura della posizione richiede gas costoso e offre un prezzo peggiore a causa del calo di liquidità.
- Ingresso in un pool con APY elevato (annual percentage yield, rendimento annuale percentuale) senza calcolare le commissioni di rete e lo slippage all’uscita.
- Riduzione dell’APY dopo la fine degli incentivi e calo del prezzo del token di ricompensa accreditato al posto del reddito da commissioni.
- Aumento del costo del gas al momento dell’uscita e approvals attivi conservati dopo la conclusione della strategia.
Scenario: un deposito in farming genera un token di ricompensa; poi il prezzo del token di ricompensa scende e la liquidità del pool diminuisce. Lo swap del token di ricompensa nell’asset di base produce un forte price impact, e due uscite richiedono due commissioni gas.
La perdita all’uscita è composta da voci concrete: commissione gas per il prelievo, slippage dello swap in un pool sottile e calo del prezzo del token di ricompensa tra accredito e vendita.
Self-custody significa che le chiavi sono detenute dall’utente, quindi il risultato è determinato da transazioni firmate e messaggi firmati che non possono essere annullati dopo l’inclusione in un blocco.
La perdita di fondi avviene quando un approve attivo resta sull’indirizzo e un contratto malevolo o un’interfaccia sostituita usa il diritto di spesa del token senza una nuova transazione approve — per maggiori dettagli, vedi approval phishing in DeFi.
Un audit verifica la versione attuale del codice; un upgrade, il cambio dell’oracle e una dipendenza da bridge possono modificare soglie di liquidazione e regole di prelievo dopo il deposito.
Perché un protocollo auditato può comunque generare perdite
Un audit riduce la probabilità di errori evidenti nel codice, ma non esclude il rischio di governance (upgrade e chiavi), il rischio di dipendenze esterne e il rischio di uscita quando la profondità del pool cala dopo un deflusso di liquidità.
L’emissione è la creazione di nuovi token secondo regole predefinite (programma, volume, destinatari); l’emissione viene usata per incentivi di liquidità e ricompense, ma la crescita dell’offerta pesa sul prezzo del token se la domanda non cambia.
- Upgrade e governance modificano i parametri della posizione dopo l’ingresso
- La modifica del coefficiente di collaterale e delle commissioni cambia la resilienza della posizione senza azioni dell’utente.
- Timelock e multisig riducono il rischio di modifica istantanea dei parametri, ma non escludono errori di aggiornamento e compromissione delle chiavi.
- La sostituzione della fonte di prezzo dell’oracle e la modifica dei limiti di collaterale cambiano soglie di liquidazione e dimensione del buffer.
- Le integrazioni aggiungono un contratto esterno alla catena di rischio
- Un protocollo può fare affidamento su un bridge, una libreria o una fonte esterna di liquidità con un altro livello di verifica e un altro modello di guasto.
- Il guasto di un componente esterno blocca la strategia, anche se il protocollo principale esegue correttamente le funzioni.
- Ogni contratto esterno nella catena dell’operazione aumenta la possibilità che la transazione di prelievo venga annullata dal revert di quel contratto esterno.
- Il deflusso di liquidità peggiora il prezzo di uscita e amplifica le liquidazioni
- Quando la profondità del pool cala, un prelievo grande sposta il prezzo più fortemente, quindi l’uscita avviene con sconto (a un prezzo inferiore a quello atteso).
- Le liquidazioni nel lending si intensificano quando il prezzo dell’oracle scende e la liquidità per vendere il collaterale diventa più sottile.
- Il rendimento basato sull’emissione cala insieme al prezzo del token di ricompensa e al deflusso di liquidità.
Mappa delle minacce, attacchi tipici e segnali di controllo degli incidenti: «Sicurezza DeFi: mappa delle minacce, casi, protezione e checklist».
La perdita economica nasce senza bug nel codice: l’emissione del token di ricompensa riduce il prezzo della ricompensa, l’impermanent loss (perdita dovuta al cambiamento dei prezzi degli asset nel pool rispetto al semplice holding) modifica la composizione LP, e una cascata di liquidazioni vende il collaterale.
Rischi economici DeFi: rendimento, liquidità e scenari di stress
La perdita economica nasce quando gli smart contract funzionano correttamente, ma il rendimento cala, il token di ricompensa si deprezza e la liquidità di uscita diminuisce nello stesso periodo.
Il rischio economico in DeFi è il rischio di perdita di capitale con il codice che funziona correttamente. La fonte della perdita si trova nel modello di incentivi (emissione della ricompensa), nella profondità della liquidità e nei meccanismi di liquidazione basati sul prezzo dell’oracle.
- Rendimento sull’emissione del token di ricompensa
- Un APY elevato è spesso formato dall’emissione di nuovi token di ricompensa, non dal reddito da commissioni del protocollo.
- L’emissione aumenta l’offerta del token di ricompensa; se la domanda non cambia, il prezzo del token di ricompensa scende.
- Se il prezzo del token di ricompensa scende più rapidamente dell’accredito, il risultato nell’asset di base diventa negativo.
- Il reddito da commissioni è più stabile, perché dipende dal volume di operazioni nel protocollo.
- Impermanent loss nel pool AMM
- In un AMM (automated market maker), una parte dell’asset che sale viene venduta e l’asset che scende viene acquistato, quindi quando i prezzi divergono il risultato può essere peggiore rispetto al semplice mantenimento degli asset.
- L’impermanent loss nasce quando il prezzo di un asset della coppia si allontana dall’altro e la posizione termina con una maggiore quantità dell’asset in calo.
- La volatilità della coppia accelera la redistribuzione delle quote all’interno del pool e aumenta la differenza rispetto all’holding passivo.
- Le coppie con bassa liquidità aumentano lo spostamento di prezzo a ogni operazione e amplificano le perdite in uscita.
- Uscita da una posizione con liquidità sottile
- Dopo la fine degli incentivi, la profondità del pool diminuisce e peggiora il prezzo di esecuzione in uscita.
- Il prezzo nell’interfaccia non equivale al prezzo di esecuzione, perché l’esecuzione dipende dalla profondità del pool e dalla dimensione dell’operazione al momento dell’inclusione nel blocco.
- Un grande volume in un pool sottile produce un price impact evidente e riduce la quantità ricevuta dell’asset di base.
- Durante la congestione della rete, le commissioni gas aumentano e fanno salire il costo di chiusura della posizione.
- Liquidazioni e cascate nel lending
- Un prestito con collaterale viene liquidato automaticamente quando viene raggiunta la soglia di rischio secondo il prezzo dell’oracle.
- Un movimento brusco del prezzo supera le soglie di rischio di molte posizioni e avvia liquidazioni di massa.
- Le vendite del collaterale fanno pressione sul prezzo e creano la successiva ondata di liquidazioni.
- Liquidità sottile e prezzo dell’oracle instabile accelerano la cascata di liquidazioni.
- Stablecoin e depeg
- Il peg di una stablecoin è sostenuto da riserve, collaterale o da un meccanismo algoritmico che riassorbe lo squilibrio.
- Depeg (perdita dell’ancoraggio della stablecoin al prezzo target, per esempio $1) nasce quando le vendite della stablecoin superano la capacità del meccanismo di stabilizzazione e la profondità dei mercati di rimborso.
- Un APY elevato su una stablecoin è spesso formato da sussidi (pagamenti da riserve o emissione di token per attirare liquidità), non da reddito reale, e quindi coincide con il rischio di uscita dal pool.
- La conservazione del capitale dipende dal modello di copertura e dalla profondità dei mercati di uscita.
L’APY su una stablecoin non compensa il depeg se la stablecoin perde il peg e viene venduta con sconto in un pool sottile.
- Commissioni di rete su piccoli volumi
- Durante la congestione della rete, il costo del gas aumenta e fa salire i costi di ingresso e uscita.
- Con un capitale ridotto, due commissioni gas (ingresso e uscita) possono coprire l’intero risultato della strategia.
- Claim, swap e rebalance frequenti aumentano le commissioni totali.
- Le strategie ad alta frequenza di operazioni perdono efficienza a causa delle commissioni accumulate.
Lo shock regolatorio arriva tramite l’accesso: il blocco del sito dApp o la disconnessione del provider RPC può impedire la chiusura della posizione mentre lo smart contract continua le liquidazioni.
Rischi regolatori: status delle operazioni e limitazioni di accesso alle interfacce
Il rischio regolatorio in DeFi nasce fuori dal codice del protocollo, quando le restrizioni coinvolgono siti dApp, provider API o infrastruttura di accesso nel momento in cui la posizione deve essere chiusa o il collaterale deve essere aumentato.
Gli smart contract continuano a eseguire operazioni nella rete, ma la gestione della posizione avviene di solito tramite il sito dApp e il provider RPC. Il blocco di questi canali limita l’invio della transazione e la lettura dello stato della posizione tramite l’interfaccia abituale.
1) Status giuridico incerto delle operazioni on-chain
La stessa operazione on-chain può essere qualificata come scambio, prestito, emissione di derivato o servizio finanziario. Qualificazioni diverse in giurisdizioni diverse modificano i requisiti di accesso e reporting, quindi l’incertezza giuridica diventa un rischio operativo per la posizione.
2) Restrizioni delle interfacce e dell’infrastruttura di accesso
L’accesso agli smart contract avviene di solito tramite siti, API e provider RPC. La restrizione di questi punti di accesso modifica il modo di gestire la posizione, anche se il contratto continua a funzionare.
Scenario: una posizione di lending è stata aperta in anticipo; poi l’interfaccia web viene bloccata per regione o il provider RPC restituisce errori. Lo smart contract continua a calcolare il prezzo dell’oracle e a eseguire liquidazioni, ma chiudere la posizione tramite l’interfaccia abituale diventa impossibile.
3) Tasse, reporting e carico operativo
Una strategia DeFi crea un flusso di operazioni: swap, accrual, claim, rebalance e liquidazioni. Un grande numero di transazioni complica la contabilizzazione di commissioni e prezzi di esecuzione e aumenta il rischio di errori nel reporting.
La perdita lato utente è creata dalla firma: rete errata, indirizzo sbagliato, unlimited approve e slippage ampio (peggioramento consentito del prezzo di esecuzione) trasformano una transazione in un addebito irreversibile di token.
Rischi utente: indirizzo, rete, approve, firme dei messaggi e parametri di swap
La maggior parte delle perdite irreversibili in DeFi è collegata alla firma: rete errata, indirizzo sbagliato, approve eccessivo o slippage ampio fissano l’operazione nella blockchain senza procedura di annullamento.
Un wallet in DeFi è uno strumento di firma crittografica. La firma di una transazione avvia trasferimento, swap, deposito o prelievo; la firma di un messaggio può concedere il diritto di spesa del token o modificare permessi senza una transazione approve separata.
1) Errori di rete, indirizzo e contratto
Controlli prima dell’invio di una transazione
- 🌐 Verifica della rete: firmare in un’altra rete invia i token in un altro registro; l’indirizzo del destinatario in un’altra rete potrebbe non appartenere al mittente.
- 🏷️ Verifica dell’indirizzo: un errore nell’indirizzo del destinatario trasferisce gli asset a un indirizzo estraneo; uno smart contract non contiene una procedura di rimborso per un trasferimento errato.
- 🧾 Verifica del contratto: la sostituzione dell’indirizzo del contratto cambia il destinatario dell’approve o modifica la logica dello swap prima della firma.
- 🧪 Operazione di test: una transazione minima conferma rete, indirizzo del contratto e route dello swap prima di inviare un grande volume.
2) Approve e autorizzazioni di spesa
Controllo dei diritti di accesso ai token
- 🎚️ Limite ristretto: unlimited approve dà il diritto di spendere l’intero saldo del token; la compromissione del contratto o dell’interfaccia trasforma il diritto di spesa in addebito effettivo.
- 👤 Verifica dello spender: l’indirizzo destinatario dell’autorizzazione (spender) deve coincidere con il contratto del protocollo, altrimenti il permesso va a un altro indirizzo.
- 🧰 Separazione dei wallet: un indirizzo di custodia separato riduce la quantità di token sull’indirizzo operativo da cui vengono concessi gli approvals.
- 🧹 Revoke: la revoca dei vecchi approvals chiude il diritto di spesa dopo il completamento dell’operazione.
3) Firme dei messaggi e diritti nascosti
Filtro prima della conferma della firma
- ✍️ Firma consapevole: la firma di un messaggio può creare un’autorizzazione di spesa successiva senza approve separato, se il protocollo usa il messaggio come autorizzazione.
- 🎁 Cautela con i “claim”: una pagina di phishing spesso inserisce una firma di messaggio che concede il diritto di spendere token.
- 📩 Ignorare i messaggi diretti: un account di “supporto” nei messaggi privati spesso porta a un dominio dApp falso per la firma.
- 🔗 Fonti fisse: accedere a una dApp da un indirizzo salvato riduce il rischio di sostituzione del dominio e dell’indirizzo del contratto.
4) MEV, attacchi sandwich ed esecuzione degli swap
Controllo dei parametri dell’operazione
- 📏 Slippage rigido: uno slippage elevato amplia l’intervallo del prezzo di esecuzione e facilita un attacco sandwich.
- 🧱 Suddivisione del volume: uno swap grande in un pool sottile aumenta il price impact; la suddivisione riduce il price impact di ogni swap.
- ⏳ Considerazione del mempool: MEV (maximal extractable value — estrazione di profitto modificando l’ordine delle transazioni nel blocco) nasce quando un bot cambia l’ordine delle transazioni e cattura la differenza del prezzo di esecuzione.
- 🧾 Minimum received: il parametro fissa il risultato minimo dello swap e limita il peggioramento dell’esecuzione.
Un attacco sandwich usa slippage ampio: il bot compra prima dello swap, alza il prezzo, poi vende dopo lo swap e cattura la differenza nell’asset di base.
5) Token malevoli e trappole di interfaccia
Filtro prima dell’acquisto di un asset
- 🧬 Verifica del contratto: lo stesso nome del token non garantisce lo stesso contratto; uno swap può acquistare un token con un altro indirizzo di contratto.
- 📉 Valutazione della liquidità: una bassa profondità del pool peggiora il prezzo di vendita e aumenta il price impact all’uscita.
- 🧾 Verifica delle condizioni di vendita: una tassa di vendita o un divieto di vendita modificano il prezzo reale di uscita e possono bloccare la vendita.
- 🚪 Verifica dell’uscita: una vendita di test conferma che il token può essere venduto e che il contratto non contiene blocchi o tasse che rendono l’uscita in perdita.
Gli errori ricorrenti portano a perdite senza hack: unlimited approve, un solo indirizzo per custodia e operazioni, ingresso per APY basato su emissione, swap in un pool sottile.
Errori tipici in DeFi che si ripetono più spesso
Le cause ricorrenti di perdita in DeFi sono legate a tre azioni: fidarsi dell’interfaccia web senza verificare l’indirizzo, concedere unlimited approve ed entrare in una strategia senza calcolare l’uscita dopo commissioni e price impact.
- Unlimited approve per comodità
- L’autorizzazione di spesa illimitata resta attiva dopo il completamento dell’operazione.
- La compromissione del contratto o dell’interfaccia usa l’approve attivo e addebita token senza nuova firma.
- Un limite per l’operazione e il successivo revoke chiudono il diritto di spesa dopo la conclusione della strategia.
- Ingresso con APY elevato senza verificare la fonte del reddito
- L’APY può essere formato dall’emissione del token di ricompensa, non dalle commissioni del protocollo.
- Il prezzo del token di ricompensa può scendere più rapidamente dell’accredito della ricompensa.
- Il calcolo del risultato nell’asset di base dopo gas e price impact mostra l’esito della strategia senza l’APY di facciata.
- Un solo wallet per custodia e operazioni attive
- Phishing o una firma malevola aprono l’accesso all’intero saldo dell’indirizzo operativo.
- L’assenza di separazione dei wallet aumenta la somma disponibile per l’addebito tramite approvals.
- Un indirizzo di custodia separato riduce la somma sull’indirizzo che firma operazioni e concede approvals.
- Swap in un pool sottile con slippage ampio
- Uno slippage ampio permette di eseguire lo swap a un prezzo peggiorato della percentuale impostata e facilita un attacco sandwich.
- Congestione della rete e calo della liquidità aumentano il ritardo di inclusione della transazione e peggiorano il prezzo di esecuzione.
- La suddivisione del volume e la limitazione dello slippage riducono le perdite da price impact e da MEV.
La perdita comportamentale si fissa con una serie di firme: il FOMO accelera l’ingresso, gli swap ripetuti aumentano il gas totale e la mediazione al ribasso aumenta l’esposizione quando la liquidità cala.
Rischi comportamentali: FOMO, serie di transazioni e crescita delle commissioni
FOMO e ingresso su rendimento surriscaldato
Il FOMO spinge a entrare in una strategia dopo la crescita del prezzo e un picco di APY, quando le condizioni di uscita stanno già peggiorando.
- FOMO (fear of missing out) attiva l’ingresso dopo la crescita del prezzo e un rendimento di facciata.
- L’APY resta alto finché continuano emissione del token di ricompensa e afflusso di liquidità.
- Dopo la riduzione degli incentivi, la liquidità esce e il price impact all’uscita aumenta.
- L’uscita fissa una perdita se gas e peggioramento del prezzo consumano la ricompensa.
L’ingresso per FOMO avviene spesso nel momento in cui il rischio di uscita è già superiore al rendimento potenziale.
Illusione di controllo durante la firma
La firma crea una sensazione di controllo, ma lo smart contract esegue i parametri alla lettera, senza verificare le intenzioni dell’utente.
- L’interfaccia può sostituire l’indirizzo del contratto o i parametri dell’operazione prima della firma.
- Approve e slippage vengono confermati senza verificare spender e minimum received.
- Lo smart contract esegue i parametri firmati senza possibilità di annullamento.
- Un errore di firma si trasforma in addebito di token o scambio a un prezzo peggiore.
La firma fissa la decisione in modo definitivo: un parametro errato diventa subito un risultato finanziario.
Mediazione di una strategia in perdita
La mediazione aumenta il capitale in una strategia in cui le condizioni di base stanno già peggiorando.
- La mediazione aumenta l’esposizione (la quota di capitale dipendente da uno scenario) in una strategia con reddito dall’emissione del token di ricompensa.
- Il calo del prezzo del token di ricompensa riduce il valore finale degli accrediti.
- L’aumento del numero di operazioni incrementa il gas totale.
- Ogni nuova transazione fissa una perdita in condizioni di liquidità sottile.
Una serie di operazioni amplifica la perdita se l’economia di base della strategia non funziona più.
DeFi non è adatta quando la tolleranza all’errore di firma è zero: una rete errata o un approve senza limite può prelevare l’intero saldo del token senza rimborso.
Criteri di scelta tra DeFi e infrastruttura con annullamento e supporto
Un errore di rete, indirizzo del contratto, approve o slippage in DeFi viene fissato dalla firma e non viene annullato dal protocollo, quindi il costo dell’errore spesso supera l’APY mancato.
Fattori di stop
- 🧨 Una perdita parziale di capitale è inaccettabile per l’obiettivo.
- 🧾 Sono necessari una procedura di annullamento e un processo di restituzione dei fondi.
- ⏱️ Non c’è tempo per verificare regolarmente approvals, indirizzi dei contratti e parametri di firma.
- 🎯 Serve un prezzo di esecuzione preciso, mentre price impact e MEV modificano il risultato dell’operazione.
- 🔐 Non c’è separazione dei wallet, con alto rischio di phishing e firma malevola.
- ⛽ Il volume è piccolo rispetto al gas, e le commissioni consumano il risultato.
Condizioni in cui DeFi è di solito accettabile
- 📏 Sono definiti un limite di posizione e una perdita massima accettabile.
- 🧰 L’indirizzo di custodia è separato dall’indirizzo operativo con saldo limitato.
- 🎚️ Approve viene concesso con limite e revocato dopo il completamento.
- 🚪 Esiste una condizione di uscita in caso di calo della liquidità e del rendimento.
Un’infrastruttura con supporto riduce il danno di un errore operativo tramite limiti, ritardi nei prelievi e procedure di rimborso; DeFi trasferisce l’errore operativo in una transazione on-chain irreversibile.
DeFi rompe gli scenari con annullamento e recupero obbligatori: perdita della seed phrase, sostituzione dell’interfaccia o errore di rete non vengono compensati da procedure di supporto.
Scenari in cui DeFi aumenta il rischio operativo
DeFi aumenta il rischio operativo quando servono annullamento delle operazioni, recupero dell’accesso ed esecuzione prevedibile senza verifica manuale di ogni parametro di firma.
Capitale grande con bassa tolleranza al rischio
Con un capitale grande, l’assenza di annullamento e rimborso rende un solo errore di firma critico per l’intero risultato.
- La concentrazione dei fondi in un solo protocollo o rete aumenta la dimensione del danno potenziale.
- La compromissione di chiave, dispositivo o interfaccia coinvolge l’intero saldo dell’indirizzo operativo.
- Una transazione errata trasferisce asset a un indirizzo estraneo senza meccanismo di restituzione.
Con una somma grande, un indirizzo destinatario errato o unlimited approve può causare una perdita paragonabile a tutto il capitale sull’indirizzo operativo.
Velocità e precisione di esecuzione critiche
In DeFi, il risultato dipende da mempool, profondità del pool e attività MEV, quindi il prezzo di esecuzione può differire dal prezzo dell’interfaccia.
- Slippage e congestione della rete peggiorano il prezzo di esecuzione.
- Un grande volume in un pool sottile amplifica il price impact.
- Il ritardo di inclusione della transazione cambia lo stato del pool tra firma ed esecuzione.
Se un’operazione richiede prezzo fisso e ritardo minimo, mempool, price impact e MEV possono modificare il prezzo di esecuzione rispetto al prezzo sullo schermo.
Serve contabilità semplice e reporting trasparente
Una strategia attiva in DeFi crea decine di transazioni e commissioni di rete separate per ogni operazione, quindi la contabilità richiede l’analisi di ogni transazione.
- Claim, rebalance ed esecuzioni parziali complicano il calcolo del costo base e del risultato.
- Più reti e bridge aggiungono commissioni separate ed eventi contabili separati.
- Un errore nella contabilizzazione delle commissioni gas e dei prezzi di esecuzione distorce risultato fiscale e reporting.
Se una strategia genera decine di transazioni, il reporting diventa la contabilizzazione di ogni commissione gas e di ogni prezzo di esecuzione per hash della transazione.
Livello insufficiente di sicurezza operativa
In DeFi, la sicurezza dipende da chiavi e firme dell’utente, quindi una protezione debole di dispositivo e browser si trasforma in perdita diretta di fondi.
- Dispositivi pubblici ed estensioni aumentano il rischio di sostituzione dell’interfaccia e furto della sessione del wallet.
- Conservare la seed phrase online facilita la compromissione delle chiavi.
- L’assenza di separazione dei wallet aumenta la somma disponibile tramite approvals.
Se dispositivo o browser sono compromessi, un attaccante può costringere il wallet a firmare un approve o un trasferimento e addebitare token dall’indirizzo operativo.
Sono richiesti supporto e recupero dell’accesso
In self-custody, perdere la seed phrase significa perdere il controllo dell’indirizzo, perché il protocollo non può ripristinare le chiavi né annullare la proprietà.
- Un errore di conservazione delle chiavi non viene compensato da un servizio.
- Senza schemi di backup, è possibile la perdita completa dell’accesso.
- Trasferimento dell’accesso ed eredità richiedono uno schema giuridico e tecnico separato.
Se la seed phrase viene persa, l’accesso all’indirizzo viene perso per sempre, perché la blockchain non contiene una procedura di recupero delle chiavi.
Volume sproporzionato rispetto alle commissioni di rete
Con gas elevato, un capitale piccolo perde senso, perché le commissioni di ingresso, gestione e uscita occupano una quota rilevante dell’importo.
- Le commissioni superano il risultato quando le azioni sono frequenti.
- Un solo errore di firma annulla l’effetto della strategia.
- L’aumento del numero di operazioni incrementa i costi relativi.
Se il deposito è piccolo, due commissioni gas (ingresso e uscita) possono consumare tutto il reddito, anche se l’APY nell’interfaccia sembra elevato.
La perdita in DeFi è legata alle operazioni: uno swap AMM soffre MEV e price impact, il lending soffre oracle e liquidazioni, un bridge soffre validatori.
Dove DeFi diventa più spesso una fonte di perdita: operazioni e fattori di stop
Il rischio DeFi emerge in operazioni concrete: uno swap AMM peggiora il prezzo di esecuzione con liquidità sottile, il lending avvia liquidazioni secondo il prezzo dell’oracle, il farming dipende dall’emissione della ricompensa e dalla liquidità di uscita, e un bridge blocca i prelievi in caso di guasto dei validatori.
Scambi DEX in pool AMM
AMM forma il prezzo dal rapporto tra gli asset nel pool, quindi l’aumento della dimensione dello swap rispetto alla profondità del pool aumenta il price impact e peggiora il prezzo di esecuzione.
✅ Vantaggi
- Self-custody senza custodia da parte di terzi.
- Scambio senza account e senza KYC.
- Accesso ai token senza listing su exchange.
❌ Svantaggi
- MEV e attacchi sandwich su volumi medi e grandi.
- Peggioramento del prezzo di esecuzione in pool poco profondi.
- Rischio di contratto token falso e indirizzo pool falso.
Lending e prestiti con collaterale
Il lending crea rischio di liquidazione, perché il calo del prezzo del collaterale secondo l’oracle avvia la vendita forzata del collaterale sulla liquidità di mercato in un momento di stress.
✅ Vantaggi
- Reddito da interessi su asset liquidi.
- Prestito con collaterale senza vendita dell’asset di base.
- Il tasso dipende dalla domanda di prestiti.
❌ Svantaggi
- Liquidazioni automatiche durante movimenti bruschi del prezzo.
- Dipendenza dalla correttezza del prezzo dell’oracle.
- Rischio di modifica dei parametri di governance (commissioni, soglie, limiti).
Il collaterale in eccesso riduce la probabilità di liquidazione, perché aumenta la distanza dalla soglia di rischio secondo il prezzo dell’oracle.
Yield farming e strategie con APY elevato
Yield farming combina reddito da commissioni e incentivi in token, quindi il risultato dipende dal prezzo del token di ricompensa, dalla velocità di emissione e dalla profondità della liquidità di uscita.
✅ Vantaggi
- Reddito da commissioni e incentivi in token.
- Ingresso e uscita senza custodia su exchange.
- Accesso a nuovi modelli di reddito all’avvio del protocollo.
❌ Svantaggi
- Calo dell’APY dopo la fine degli incentivi.
- Impermanent loss su coppie volatili.
- Rug pull in un progetto giovane quando gli organizzatori ritirano liquidità.
Cosa rompe il farming nel modello di reddito
- Deflusso degli LP (fornitori di liquidità) e calo della profondità del pool.
- Calo del prezzo del token di ricompensa più rapido degli accrediti.
- Gas e rebalance che riducono il risultato nell’asset di base.
- Bug o pausa di un contratto esterno nella catena della strategia.
Bridge e operazioni cross-chain
Un bridge cross-chain concentra il rischio nei validatori e nelle chiavi di governance, quindi la compromissione o il guasto del bridge blocca il prelievo degli asset e interrompe la catena di operazioni tra reti.
✅ Vantaggi
- Accesso alla liquidità di reti diverse.
- Scelta della rete in base a commissioni e velocità.
- Distribuzione del capitale tra ecosistemi.
❌ Svantaggi
- Concentrazione della liquidità in un solo punto.
- Modello di sicurezza complesso e dipendenza dai validatori.
- Aumento del rischio di errore operativo nei trasferimenti tra reti.
Derivati on-chain e trading con leva
Nei derivati on-chain, la posizione viene calcolata secondo il prezzo dell’oracle, e l’uso della leva lascia un piccolo margine di sicurezza, quindi qualsiasi errore di prezzo, liquidità o esecuzione porta più rapidamente alla chiusura forzata della posizione.
✅ Vantaggi
- Hedging senza custodia da parte di terzi.
- Accesso ai derivati tramite smart contract.
- Compatibilità con strategie on-chain.
❌ Svantaggi
- Cascate di liquidazioni durante volatilità brusca.
- Dipendenza del risultato dal prezzo dell’oracle.
- Somma di rischio di mercato e rischio di protocollo.
I segnali di uscita in DeFi si misurano con parametri: calo della profondità del pool, aumento del gas, riduzione dell’APY, calo del token di ricompensa, upgrade del contratto, errore dell’interfaccia.
Segnali che indicano quando uscire da una posizione DeFi
- L’APY cresce senza crescita di commissioni e volume
- L’APY aumenta senza crescita delle commissioni del protocollo e senza crescita del volume di operazioni.
- La fonte dell’APY si sposta verso emissione o incentivi temporanei.
- Il prezzo del token di ricompensa scende più rapidamente della ricompensa accreditata.
- L’APY dipende dall’emissione se volume degli swap e reddito da commissioni non crescono.
- Il prezzo di uscita peggiora per il calo della liquidità
- La profondità del pool è inferiore rispetto al momento di ingresso.
- Il prelievo richiede uno sconto per price impact rispetto al prezzo atteso.
- Durante lo stress, il gas aumenta e fa salire il costo di uscita.
- Il price impact è aumentato se lo stesso volume di prelievo dal pool produce meno asset di base rispetto all’ingresso.
- Un upgrade modifica i parametri del protocollo
- Compare un upgrade senza tempo sufficiente per verificare le nuove condizioni.
- Cambiano commissioni, coefficienti di collaterale o parametri di liquidazione.
- Vengono aggiunte nuove integrazioni, bridge o dipendenze esterne.
- Il rischio di upgrade aumenta se l’implementazione del contratto viene modificata tramite una chiave admin senza timelock.
- L’accesso alla gestione della posizione diventa instabile
- L’interfaccia funziona con errori e RPC mostra uno stato errato delle transazioni.
- Restrizioni di accesso per regione o congestione della rete ostacolano la chiusura della posizione.
- L’errore operativo durante la firma diventa più probabile per mancanza di tempo.
- Il rischio di errore di firma aumenta se la chiusura della posizione avviene tramite un nuovo dominio o un RPC instabile.
Se contemporaneamente calano liquidità del pool e rendimento e peggiora l’accesso all’interfaccia, chiudere la posizione diventa più costoso in gas e peggiore come prezzo di esecuzione.
DeFi esegue operazioni tramite smart contract e firma del wallet; CEX esegue operazioni sui conti dell’exchange e può applicare limiti, ritardi nei prelievi e procedure di rimborso.
DeFi vs CEX: dove il rischio è più basso e dove viene redistribuito
In DeFi, il risultato dell’operazione è interamente determinato dai parametri firmati e non può essere annullato, mentre su CEX la piattaforma a volte può intervenire e bloccare un prelievo errato.
DeFi esegue l’operazione rigorosamente secondo i parametri della firma nel wallet, mentre CEX la esegue tramite order book interno e contabilità dei saldi. In DeFi, una transazione errata è irreversibile dopo l’inclusione in un blocco, mentre CEX a volte può bloccare il prelievo o restituire i fondi prima dell’addebito definitivo.
| Criterio | CEX | DeFi |
|---|---|---|
| Custodia degli asset | Le chiavi sono controllate dalla piattaforma (custodial) | Le chiavi sono detenute dall’utente (self-custody) |
| Correzione degli errori | A volte sono possibili procedure regolamentate di rimborso | Le transazioni sono irreversibili dopo l’inclusione in un blocco |
| Rischio di hack | Incidenti centralizzati rari, ma di grande scala | Incidenti a livello di singoli protocolli e interfacce |
| Esecuzione delle operazioni | Il prezzo dipende dall’order book e dalle regole dell’exchange | Il prezzo dipende da profondità del pool, price impact e MEV |
| Accesso e compliance | KYC/AML e procedure regolatorie | Senza account, ma con rischio di blocco di interfacce e RPC |
| Trasparenza | Regole della piattaforma e reporting dell’operatore | Transazioni pubbliche e codice verificabile quando gli indirizzi sono verificati |
✅ Dove DeFi offre un vantaggio
- Controllo sugli asset senza custodia da parte di terzi.
- Accesso a strumenti on-chain senza listing sugli exchange.
- Automazione della strategia tramite smart contract quando indirizzi e parametri di firma sono verificati.
❌ Dove CEX è di solito più resiliente
- Operazioni grandi in cui servono ritardo minimo e prezzo preciso.
- Scenari in cui supporto, recupero dell’accesso e procedure sono critici.
- Scenari in cui serve annullare un prelievo errato prima dell’addebito finale.
Confronto tra modelli di accesso e rischi di esecuzione: DEX vs CEX: differenze su custodia, esecuzione e accesso.
La verifica prima della firma riduce il rischio di trasferire token a un indirizzo errato e concedere approve allo spender sbagliato: verifica di rete e indirizzo del contratto, controllo dello spender in approve, limitazione dello slippage e minimum received.
Punti di controllo prima di entrare in DeFi: parametri di firma e limiti di esecuzione
La verifica prima della firma riduce la probabilità di rete errata, sostituzione dell’indirizzo del contratto, approve eccessivo e slippage troppo ampio che fissa un cattivo prezzo di esecuzione.
Verifica di base dei parametri di firma
- Verifica dell’indirizzo del contratto e della corrispondenza della rete all’operazione.
- Valutazione della profondità della liquidità: un volume grande in un pool sottile aumenta il price impact.
- Limitazione dello slippage e verifica del minimum received.
- Controllo degli approvals attivi e del limite di spesa.
- Operazione di test con volume minimo su una nuova route.
Verifica estesa per depositi e farming
- Determinazione della fonte di rendimento: commissioni, interessi sui prestiti o emissione della ricompensa.
- Verifica di upgrade, chiavi admin, multisig e timelock.
- Valutazione della distribuzione del token di ricompensa e del rischio di concentrazione tra grandi holder.
- Valutazione del rischio del bridge e della stablecoin in una strategia cross-chain, perché un guasto del bridge o la perdita del peg della stablecoin possono bloccare l’uscita.
- Confronto di gas e price impact con il profitto atteso nell’asset di base.
Segnali di rischio elevato
- Nuovo protocollo senza storico operativo e con promesse di “garanzie”.
- Rendimento a due cifre in stablecoin senza spiegazione della fonte (commissioni o interessi sui prestiti).
- Token di ricompensa con emissione elevata e senza domanda sostenibile.
- Descrizione della sicurezza tramite slogan senza indicare timelock, multisig, oracle e modello di accesso.
- Firma che richiede un accesso non coerente con l’operazione (per esempio spesa del token invece di claim della ricompensa).
La riduzione delle perdite in DeFi si ottiene con limiti: meno fondi sull’indirizzo operativo, approve solo per l’importo dell’operazione, meno bridge e meno contratti esterni nella route.
Metodi per ridurre il rischio nell’uso di DeFi
1) Separazione dei wallet per ruolo
- Indirizzo di custodia. Sull’indirizzo di custodia non ci sono approvals attivi né interazioni regolari con dApp.
- Indirizzo operativo. Sull’indirizzo operativo si trova l’importo accettabile a rischio e vengono firmate le operazioni.
- Indirizzo di test. Sull’indirizzo di test si verificano nuovi protocolli e route con importi minimi.
2) Gestione delle autorizzazioni di spesa
- Approve viene concesso per un volume specifico dell’operazione, così il contratto non ha diritto di spendere l’intero saldo.
- Gli approvals non utilizzati vengono revocati dopo la fine della strategia per chiudere il diritto di spesa.
- Approve per un contratto non verificato aumenta la scala delle perdite se il contratto o l’interfaccia viene compromesso.
Scenari di approval phishing e modi di usare approvals attivi: «Approval phishing in DeFi: permessi nascosti che consentono di rubare token».
3) Esecuzione delle operazioni considerando MEV e liquidità
- Slippage limita l’intervallo del prezzo di esecuzione e riduce l’effetto degli attacchi sandwich.
- La suddivisione del volume riduce il price impact in un pool sottile.
- Una route di swap attraverso più pool aumenta il numero di smart contract; il revert di un contratto annulla la transazione e consuma gas.
4) Limitazione di concentrazione e complessità
- La concentrazione del capitale in un solo protocollo aumenta la somma che dipende da una singola vulnerabilità o da un singolo upgrade.
- Un bridge o una stablecoin non devono essere l’unico punto della strategia se la perdita del peg o un guasto del bridge blocca l’uscita.
- Ridurre il numero di collegamenti diminuisce il numero di contratti esterni da cui dipende il prelievo.
DeFi è adatta quando firma e permessi sono controllati: verifica di rete e indirizzo del contratto, approve con limite, indirizzo di custodia separato e condizione di uscita quando la liquidità cala.
A chi è adatta DeFi con controllo consapevole della firma
DeFi è adatta a chi accetta l’irreversibilità delle transazioni e controlla indirizzi dei contratti, approvals, parametri degli swap e condizioni di uscita; senza questo, self-custody trasforma un errore di firma in perdita diretta di fondi.
Utenti con sicurezza operativa strutturata
Separazione degli indirizzi, controllo degli approvals e verifica dei parametri di firma limitano la somma disponibile per perdite in un singolo incidente.
- L’indirizzo di custodia è separato dall’indirizzo operativo dove vengono eseguite le firme.
- Gli approvals vengono concessi con limite e revocati dopo l’operazione.
- La posizione viene ridotta quando la profondità della liquidità cala e il prezzo di uscita peggiora.
La separazione degli indirizzi e l’approve limitato riducono la quantità di token disponibile per l’addebito tramite firma errata o compromissione del contratto.
Trader che hanno bisogno di self-custody e accesso diretto al mercato on-chain
Il trading on-chain offre accesso diretto ai pool, ma il risultato è determinato dalla profondità del pool e dai parametri di esecuzione della transazione.
- Un volume moderato riduce il price impact in un pool AMM.
- La condizione di uscita fissa il momento di chiusura quando APY e liquidità calano.
- Slippage e minimum received limitano l’intervallo del prezzo di esecuzione.
Il prezzo di esecuzione dello swap dipende da profondità del pool e slippage; con liquidità sottile, lo stesso volume di swap produce meno asset di base dopo l’esecuzione nel blocco.
Utenti che verificano la mappa delle dipendenze del protocollo
La verifica della fonte di reddito e dei punti di rischio (oracle, bridge, upgrade, interfaccia) riduce la probabilità di entrare in una strategia in cui il prelievo viene bloccato da un contratto esterno o dall’infrastruttura di accesso.
- La separazione del reddito in commissioni ed emissione distingue il reddito da commissioni da un sussidio nel token di ricompensa.
- La verifica dell’oracle e del coefficiente di collaterale mostra il rischio di liquidazione secondo il prezzo dell’oracle.
- La verifica di bridge e integrazioni mostra quale contratto esterno può bloccare il prelievo.
La verifica di oracle, bridge e upgrade fissa da quali indirizzi esterni e chiavi dipendono il prelievo e il calcolo della soglia di liquidazione.
La FAQ copre otto domande: DeFi vs CEX, approve, slippage, impermanent loss, bridge, piccoli importi, lending ed errori tipici dei principianti.
FAQ sui rischi e sui limiti di DeFi
DeFi è più sicura degli exchange centralizzati?
Nella maggior parte dei casi, no. Per la maggior parte degli utenti, DeFi comporta un rischio operativo più alto, perché qualunque errore di firma o di parametri della transazione è irreversibile.
In DeFi, la perdita nasce da un bug dello smart contract, dalla sostituzione dell’interfaccia o da un errore dell’utente durante la firma. In CEX, la perdita è legata a un hack dell’exchange, al blocco dei prelievi secondo le regole della piattaforma o a un errore dell’operatore, ma a volte può essere ridotta tramite limiti, ritardi e procedure di blocco del prelievo.
Perché le autorizzazioni approve sono considerate un rischio critico?
Approve dà allo smart contract il diritto di spendere token dall’indirizzo dell’utente senza una firma ripetuta. Unlimited approve dà il diritto di spendere l’intero saldo del token se il contratto o l’interfaccia vengono compromessi.
Quale slippage può essere considerato accettabile?
Slippage imposta il peggioramento massimo del prezzo di esecuzione rispetto al prezzo atteso; con slippage ampio, lo swap può essere eseguito a un prezzo peggiorato della percentuale definita. In un pool sottile, uno slippage ampio facilita un attacco sandwich e aumenta la perdita effettiva sul prezzo.
Sono possibili perdite in un pool di liquidità durante la crescita del mercato?
Sì. L’impermanent loss nasce quando i prezzi degli asset nella coppia divergono e l’AMM redistribuisce le quote degli asset all’interno della posizione LP, quindi il valore finale dell’LP può essere inferiore al semplice holding degli stessi asset.
Perché i bridge sono considerati l’elemento più vulnerabile del cross-chain?
Perché in un bridge convergono contemporaneamente più punti di guasto: validatori, chiavi di governance, logica dei contratti e meccanismo di emissione degli asset wrapped.
Se si rompe anche un solo elemento — i validatori si fermano, le chiavi di governance vengono esposte o il contratto funziona in modo errato — il token wrapped perde la possibilità di essere scambiato con l’asset originale e il prelievo dei fondi può essere bloccato.
Ha senso usare DeFi con piccoli importi?
Con piccoli importi, la commissione gas occupa una grande quota del capitale, quindi due operazioni (ingresso e uscita) possono consumare tutto il reddito. Il senso economico dipende dal fatto che il reddito atteso copra due commissioni gas e le perdite da price impact.
Perché il lending sembra stabile, ma spesso porta a perdite?
Il lending contiene una liquidazione automatica: quando il prezzo del collaterale scende secondo l’oracle, la posizione viene venduta forzatamente. Durante un forte ribasso, la liquidità di vendita del collaterale diventa più sottile, quindi la liquidazione fissa un forte sconto rispetto al prezzo equo.
Da dove iniziano le perdite dei principianti in DeFi?
Le perdite iniziano da due errori: firma errata (rete, indirizzo, slippage) e approve eccessivo. Una transazione firmata è irreversibile, e un approve attivo permette di spendere token senza nuova firma se il contratto o l’interfaccia vengono compromessi.
DeFi non contiene annullamento né rimborso: la firma fissa il trasferimento, e i rischi di codice, oracle, bridge e liquidità possono coincidere e aumentare la perdita.
Quando DeFi non è davvero adatta
DeFi diventa una scelta negativa quando servono annullamento delle operazioni, prezzo di esecuzione preciso e danno minimo da un solo errore di firma.
DeFi lascia il controllo delle chiavi all’utente, ma elimina procedura di annullamento, verifica manuale delle operazioni e processo di rimborso. Chiavi, firme, approvals e verifica degli indirizzi diventano l’unica barriera tra l’asset e un errore irreversibile.
La perdita nasce senza hack quando upgrade del protocollo, prezzo dell’oracle distorto, calo della liquidità del pool e gas elevato coincidono nello stesso periodo e peggiorano il prezzo di uscita e la possibilità di gestire la posizione.
Rinunciare a DeFi riduce il rischio di perdita irreversibile quando la posizione è grande, rete e indirizzi non vengono verificati prima della firma, o la strategia richiede un prezzo di esecuzione preciso durante congestione della rete e liquidità sottile.
- Riduzione del numero di dipendenze. Meno protocolli e bridge riducono il numero di contratti esterni da cui dipende il prelievo.
- Separazione degli indirizzi per ruolo. L’indirizzo di custodia riduce la somma disponibile per l’addebito tramite approvals dell’indirizzo operativo.
- Valutazione del risultato nell’asset di base. Gas e price impact riducono il risultato nell’asset di base, anche se l’APY nell’interfaccia sembra elevato.
- Buffer di collaterale. Un buffer di collaterale aumenta la distanza dalla soglia di liquidazione secondo il prezzo dell’oracle.
In DeFi, lo smart contract esegue la firma senza annullamento; un’infrastruttura con procedura di rimborso e verifica manuale delle operazioni riduce il danno dell’errore operativo durante prelievi e trasferimenti.
🛡️ Materiale: sicurezza DeFi
Mappa delle minacce, casi di attacco e segnali di controllo degli incidenti