Quasi dieci anni fa l’hack di The DAO ha rappresentato il momento in cui Ethereum rischiò davvero di spezzarsi. Non solo per la perdita economica, enorme per l’epoca, ma per la domanda che lasciò sul tavolo e che ancora oggi torna, ciclicamente, in ogni discussione sulla sicurezza delle blockchain: cosa succede quando il codice è legge, ma il codice sbaglia. Nel 2016, una vulnerabilità nello smart contract del DAO consentì a un attaccante di drenare circa 3,6 milioni di ETH, una quota che allora pesava come un macigno perché equivaleva a una porzione rilevante degli ether in circolazione. La risposta della comunità fu un hard fork che riscrisse la storia dei fondi sottratti e spaccò l’ecosistema in due percorsi, dando origine anche a Ethereum Classic, con una frattura culturale che si trasformò in identità.
Oggi quella vecchia crisi viene trasformata in una sorta di “rendita difensiva” permanente. Vitalik Buterin e la Ethereum Foundation hanno annunciato la nascita di un fondo dedicato alla sicurezza, il TheDAO Security Fund, costruito con gli asset non reclamati legati proprio a quell’evento. La cifra è di quelle che fanno rumore anche nel 2026: circa 220 milioni di dollari equivalenti, per un ammontare complessivo vicino ai 75.000 ETH destinati a finanziare audit, risposta agli incidenti e ricerca sulla sicurezza di tutto l’ecosistema. A guidare l’iniziativa c’è Griff Green, figura storica della vicenda DAO e membro del gruppo “white hat” che contribuì a contenere l’emorragia e a recuperare parte dei fondi nel caos di allora.
Il punto chiave è che non si tratta di “nuovi soldi” raccolti sul mercato, ma di capitale rimasto come un’eco dentro i contratti nati dopo il fork. In particolare, il fondo attinge da due serbatoi rimasti intatti e mai utilizzati: un contratto noto come ExtraBalance che contiene circa 70.500 ETH e un multisig dei curatori con circa 4.600 ETH e token collegati al DAO, per un valore complessivo stimato attorno a 13,5 milioni di dollari. È materiale “dormiente” per definizione, perché una parte degli aventi diritto non reclamò mai i rimborsi o perse l’accesso, e nel tempo quella massa si è rivalutata in modo consistente.
Il meccanismo scelto prova a conciliare due esigenze che spesso litigano. Da un lato, serve continuità di finanziamento, perché la sicurezza non è un progetto one-shot, è manutenzione costante. Dall’altro, serve velocità d’intervento, perché gli attacchi non aspettano i bilanci annuali. Per questo il piano prevede che la parte principale, circa 69.420 ETH, venga messa in staking sulla rete Ethereum, così da generare un rendimento annuo stimato nell’ordine di milioni di dollari, destinato a sostenere nel tempo audit e iniziative operative. Il resto, la componente in dollari e token valutata attorno ai 13,5 milioni, viene orientata a sovvenzioni più immediate, con un’impostazione ispirata a modelli di governance “da DAO” come quadratic funding, retroactive public goods funding e ranked-choice voting, cioè forme di allocazione che cercano di premiare impatto e consenso senza consegnare tutto a una singola cabina di regia.
Dietro la scelta c’è un’idea semplice e, per certi versi, politica. Ethereum è diventata un’infrastruttura finanziaria sempre più critica, e il suo rischio principale non è solo l’exploit clamoroso stile 2016. Nel 2026 l’attacco “tipico” assomiglia molto più spesso a un drenaggio da wallet, a una firma cieca su una transazione malevola, a una catena di autorizzazioni che concede permessi e poi svuota un portafoglio, o a bug sottili nei contratti che muovono liquidità di massa nella DeFi. In altre parole, non è solo questione di “codice del protocollo”, ma di superficie d’attacco complessiva, che include interfacce, standard, strumenti, abitudini degli utenti, e incentivi economici. Ed è per questo che, tra i beneficiari potenziali, vengono citate realtà note nel mondo security e tooling come Trail of Bits, OpenZeppelin, iniziative di risposta rapida come SEAL 911, e strumenti che aiutano gli utenti a revocare permessi e difendersi da autorizzazioni pericolose.
In questo senso, il fondo si inserisce in un percorso più ampio promosso dalla Ethereum Foundation, chiamato Trillion Dollar Security. Il nome è programmatico: se Ethereum vuole essere “strada principale” per patrimoni, pagamenti, asset tokenizzati e finanza programmabile, deve puntare a un livello di sicurezza percepita tale da reggere importi giganteschi senza diventare una roulette russa. Non è solo un tema tecnico, è un tema di fiducia collettiva, perché l’adozione di massa non avviene quando il protocollo è brillante, ma quando l’utente medio si sente protetto dall’errore umano e dall’asimmetria informativa rispetto agli attaccanti.
C’è anche un valore simbolico che pesa quanto i numeri. The DAO, nel 2016, era una promessa di governance decentralizzata, quasi una profezia. Il suo fallimento rese evidente un limite: la decentralizzazione senza sicurezza e senza meccanismi di responsabilità può diventare fragilità, e la fragilità in finanza viene sempre monetizzata da qualcuno. Recuperare oggi quegli asset non reclamati e convertirli in una dotazione di difesa significa riscrivere la funzione storica di quel trauma. Non più “l’evento che ha quasi ucciso Ethereum”, ma “l’evento che finanzia la sua immunità”, come se la rete stesse costruendo un anticorpo permanente con il materiale stesso dell’infezione.
La promessa finale, dichiarata in modo esplicito dai promotori, è ambiziosa e anche provocatoria: rendere Ethereum così sicuro che, per una parte crescente di persone, conservare risparmi in un protocollo DeFi possa apparire più vantaggioso che farlo in una banca. È una frase che punta a rovesciare il senso comune, ma che rivela anche l’obiettivo strategico. Non basta che la DeFi renda di più, deve costare meno in ansia, in rischio percepito, in probabilità di errore. E questo richiede investimenti in sicurezza comparabili, per intensità, a quelli che nel mondo tradizionale vengono assorbiti da compliance, antifrode, assicurazioni e infrastrutture. Se la blockchain vuole davvero farsi “infrastruttura”, deve anche prendersi sulle spalle il prezzo della sua affidabilità.
Da qui nasce la parte più interessante del fondo. Non è solo un salvadanaio, è un esperimento di governance del rischio. Mettere in staking la maggioranza del capitale significa creare una forma di endowment che si autoalimenta e che, almeno sulla carta, può sostenere la sicurezza come bene pubblico. Distribuire grant in meccanismi ispirati alle DAO significa invece riconoscere che la sicurezza non è monopolio di un soggetto centrale: viene prodotta da auditor, ricercatori, team di tooling, iniziative di risposta rapida, e persino da piccoli strumenti che riducono l’errore dell’utente. La vera partita, nel prossimo ciclo, sarà capire se questa architettura saprà essere efficace senza diventare lenta, e se saprà selezionare progetti ad alto impatto senza trasformarsi in un gioco di consenso.
In definitiva, l’operazione racconta un passaggio di maturità. Nel 2016 Ethereum scoprì che l’innovazione senza difesa è una corsa con le scarpe slacciate. Nel 2026 prova a fare una cosa rara: usare il proprio passato, con tutte le sue contraddizioni, per finanziare una sicurezza più adulta. Non cancella il dibattito sull’immutabilità, non chiude la ferita originaria, ma le dà una funzione sistemica. E in un settore dove le narrazioni cambiano in settimane, trasformare un trauma in un’istituzione di lungo periodo è forse il segnale più forte che Ethereum vuole essere, sempre di più, una infrastruttura su cui “si può costruire” senza tremare a ogni stagione di hack.
