La rete principale di Cardano ha subito una rara partizione della catena il 21 novembre 2025, dopo che una transazione di staking-delegation malformata ha sfruttato un bug di deserializzazione di vecchia data, producendo brevemente un ramo "avvelenato" contenente la transazione e un ramo parallelo sano che l'ha rifiutata. La rete ha continuato a produrre blocchi su entrambi i lati fino a quando gli aggiornamenti di emergenza dei nodi non hanno ripristinato la convergenza più tardi quel giorno; Intersect ha affermato che non sono stati persi fondi degli utenti e che è stato preparato un playbook di disaster recovery CIP-135, ma che alla fine non è stato necessario.
L'aggressore di Cardano dovrebbe affrontare i federali?
Ciò che ha trasformato un'autopsia tecnica in un punto critico per il settore è stata la controversia pubblica tra il fondatore di Cardano, Charles Hoskinson, e il co-fondatore di Solana, Anatoly Yakovenko, sulla questione se l'incidente dovesse essere trattato come un crimine federale.
Yakovenko ha esordito elogiando il comportamento del protocollo piuttosto che la sua politica: "Mi sbilancio e dico che è davvero fantastico. Il consenso in stile Nakamoto senza proof of work è estremamente difficile da costruire. Il protocollo ha funzionato come progettato nonostante i bug". Stava reagendo all'osservazione di Berry Ales secondo cui Cardano "si è ripreso da una catena di minoranza e si è sbarazzato del sintomo, preservando gran parte della storia e dei progressi compiuti dopo l'incidente". Hoskinson ha risposto laconicamente: "Grazie amico. È stata una giornata incredibile".
Lo scambio si è intensificato quando Yakovenko ha definito il traffico di exploit come inerente alle reti permissionless e ha messo in guardia dal coinvolgere le forze dell'ordine. "Comunicare bit arbitrari è fondamentalmente parlare, anche se interrompono il ricevitore", ha scritto. "Il fatto che non sia sempre così negli Stati Uniti è assurdo. Non mandate i federali a cercare il poveretto che ha rovinato la divulgazione delle vulnerabilità".
La contro-affermazione di Hoskinson era che non si trattava affatto di divulgazione. "Si è trattato di un attacco premeditato da parte di un SPO scontento con una vasta conoscenza di Cardano e che aveva già osservato il fork della testnet, le attività di patching ed era in contatto diretto con gli sviluppatori principali ", ha affermato. Secondo Hoskinson, l'aggressore ha osservato l'incidente della testnet Preview, ha atteso che le attività di patching si concludessero, per poi riprodurlo sulla mainnet.
"Abbiamo passato ore a studiarlo, ricostruendolo per la mainnet e poi delegandolo al mio pool personale Rats come messaggio. Ha ammesso l'accaduto solo dopo che l'ho doxato in un video, sostenendo che si trattava di un terribile errore, ma in qualche modo ha trascurato di menzionarlo per tutto il giorno mentre lo stavamo sistemando."
Ha poi sostenuto che lo sfruttamento intenzionale delle infrastrutture pubbliche sconfina nel territorio criminale: "I blackhat che sfruttano bug per danneggiare le infrastrutture pubbliche non sono una novità. Sono un crimine federale a causa del danno catastrofico che tali atti potrebbero comportare per la società. Cardano è una rete di grandi dimensioni e molte persone traggono il loro intero sostentamento dal suo funzionamento. Ha danneggiato ogni singola persona nel nostro ecosistema".
Yakovenko ha accettato la bruttezza del comportamento blackhat, ma ha sostenuto che l'escalation legale è strategicamente rischiosa nei sistemi aperti. "Sì. Capisco. Abbiamo avuto degli stronzi che controllavano le filiali pubbliche per eventuali correzioni di bug e cercavano di sfruttarle immediatamente. È una pia enorme. Qualsiasi potenziale bug deve essere risolto in privato e prima devono essere distribuite patch p2p. Ha un effetto paralizzante sul settore se si chiama l'FBI". Nel suo "modello mentale", se gli operatori gestiscono "un sistema che accetta messaggi pubblici arbitrari, si assumono il rischio di ciò che accade a qualsiasi messaggio ricevano", e solo i sistemi autorizzati con un inquadramento esplicito della responsabilità dovrebbero essere regolamentati come tali.
Hoskinson ha messo a confronto questo modello con la realtà della finanza regolamentata e delle norme cross-chain. "Inoltre, direte a tutte le entità finanziarie regolamentate che stanno costruendo su Solana che se perdono denaro a causa degli hacker mentre usano Solana, non dovrebbero sporgere denuncia?". Ha poi proseguito con un'ipotesi diretta: "Quindi, se un blackhat trovasse un exploit in Solana e facesse un fork della rete, causando enormi perdite alla vostra comunità DeFi, dovrebbe accettare che si tratti di un rischio di Solana e che il blackhat non abbia fatto nulla di sbagliato? Qual è il rimedio?"
La risposta di Yakovenko ha distinto la responsabilità morale dalla deterrenza. "Il blackhat è una vera e propria merda. La soluzione è che abbiamo bisogno di molteplici implementazioni e verifiche formali per ridurre al minimo il rischio che ciò accada… Dobbiamo renderlo impossibile". A suo avviso, l'azione penale non è un controllo affidabile perché gli aggressori più seri non si aspettano di essere catturati, quindi la resilienza deve derivare dalla ridondanza ingegneristica e dalle verifiche, non dalla minaccia dello Stato.
Il rapporto sull'incidente di Intersect afferma che il wallet responsabile della transazione malformata è stato identificato e che le autorità, tra cui l'FBI, sono state coinvolte. La storia immediata di Cardano è una discrepanza di convalida rapidamente risolta che è ricompattata senza rollback. La storia più importante è uno scontro in corso tra i fondatori sulla questione se le falle di sicurezza permissionless siano principalmente una questione di progettazione del protocollo o di diritto penale, e quale precedente la risposta stabilisca per ogni rete PoS, inclusa Solana.
Al momento della stampa, ADA era quotata a 0,41 dollari.
