La finanza decentralizzata (DeFi) ha assistito a uno degli incidenti informatici più straordinari dopo che un errore di codifica generato dall'intelligenza artificiale ha esposto una grave vulnerabilità. L'ultima violazione ha colpito il protocollo Moonwell, dove una formula errata dell'oracolo dei prezzi scritta dal modello Claude Opus 4.6 ha portato a perdite totali di circa 1,78 milioni di dollari. Quello che gli esperti ora definiscono la prima grande vittima del cosiddetto “vibe-coding”—la tendenza verso uno sviluppo software rapido e guidato dall'AI—vede il settore DeFi a un bivio tra innovazione e integrità.
Errore di Calcolo del Prezzo di Claude Opus Causa Il Caos
L'analista di sicurezza del settore Pashov ha portato alla luce il problema, evidenziando con forza i rischi che l'intelligenza artificiale introduce nei processi di sviluppo software. Al centro della violazione vi era un malfunzionamento nell'oracolo dei prezzi di Moonwell: il valore di cbETH, un asset chiave, si è completamente scollegato dalla realtà del mercato. Normalmente scambiato intorno ai 2.200 dollari, cbETH è stato erroneamente quotato a soli 1,12 dollari a causa del codice difettoso scritto da Claude Opus 4.6. Il risultato è stato un giorno di festa per gli exploit e una rapida cascata di perdite.
Un'analisi approfondita della fonte dell'errore ha rivelato un problema ancora più profondo—un errore nella formula matematica incorporato nella logica di base dello smart contract. Secondo Cos, fondatore di SlowMist, questo errore di calcolo elementare nel feed dei prezzi ha spianato la strada agli attaccanti per sfruttare squilibri sistemici. L'incidente rappresenta una chiara prova che anche i sistemi DeFi più complessi possono essere compromessi da passi falsi dell'AI, sottolineando la loro natura precaria.
Un esame più attento del repository GitHub di Moonwell e delle pull request non ha lasciato dubbi: il codice errato è stato co-scritto dal modello Claude insieme a sviluppatori umani. L'eccessiva fiducia nella codifica assistita dall'AI ha offuscato processi di audit fondamentali, trasformando piattaforme con miliardi di volume in bersagli privilegiati per i cybercriminali. Questo incidente serve da monito per tutti i team che integrano AI generativa in applicazioni mission-critical.
Rischi dell'AI e Necessità di Supervisione da Parte degli Sviluppatori
Gli operatori del settore definiscono questo evento il primo grande hack dell'era del “vibe-coding”. La corsa alla velocità, che ha portato a delegare una parte significativa dello sviluppo a modelli come Claude senza un'adeguata revisione manuale o controlli di sicurezza robusti, ha esposto una vulnerabilità critica. L'exploit su Moonwell ha comportato più di una semplice perdita finanziaria; ha lasciato aperti dubbi sull'affidabilità dei nuovi modelli di produzione del codice che stanno emergendo nell'industria tecnologica.
Specialisti della sicurezza come Pashov e Cos avvertono che la facilità con cui si utilizzano sistemi autonomi per la creazione di smart contract comporta errori matematici imprevedibili e talvolta catastrofici. Un semplice decimale fuori posto o un moltiplicatore errato nel flusso di calcolo dei prezzi è stato sufficiente per cancellare milioni di dollari in pochi secondi. Questo episodio dimostra chiaramente che l'AI, per quanto promettente, resta ancora troppo “immaturo” per assumersi la responsabilità delle infrastrutture finanziarie di alto livello in modo autonomo.
Nel dopo-incidente, la lezione è inequivocabile: la “supervisione centrata sull'uomo” rimane fondamentale. Indipendentemente da quanto avanzati diventino i modelli generativi, la revisione scrupolosa da parte di auditor professionisti rappresenta ancora la salvaguardia più solida nella DeFi, dove non c'è margine d'errore. La violazione di Moonwell si sta già consolidando come uno degli esempi più costosi di “allucinazione” dell'AI durante lo sviluppo—con ripercussioni finanziarie reali che non saranno presto dimenticate.
