Che cos’è la DeFi? Come funziona realmente la finanza decentralizzata

DeFi, abbreviazione di "finanza decentralizzata", è un termine generico che indica le applicazioni finanziarie che operano su blockchain pubbliche e utilizzano gli smart contract per l'esecuzione delle proprie regole. Gli utenti ricorrono alla DeFi per effettuare operazioni di trading, concedere e richiedere prestiti, effettuare pagamenti, fornire liquidità e accedere ad altri servizi finanziari direttamente dal proprio portafoglio di criptovalute.

Riduce la dipendenza dalle banche e dalle piattaforme di scambio centralizzate, senza però eliminare del tutto la questione della fiducia. Gli utenti continuano a dipendere dal codice, dalle blockchain, dagli oracoli, dalle interfacce, dai sistemi di governance e dagli asset detenuti all’interno di ciascun protocollo.

Capire dove si è spostata quella fiducia fa la differenza tra un uso consapevole della DeFi e il rischio di perderci dei soldi.

Punti chiave

• DeFi sta per "finanza decentralizzata": si tratta di protocolli finanziari che utilizzano blockchain e smart contract per applicare le regole relative al trading, ai prestiti, ai finanziamenti e alla gestione patrimoniale.
• Gli utenti autorizzano generalmente le operazioni dal proprio portafoglio piuttosto che tramite un conto detenuto presso un'azienda, e continuano comunque a dipendere da interfacce, blockchain, oracoli, emittenti di stablecoin e meccanismi di governance.
• Gran parte delle attività di prestito e di trading spot nel settore DeFi si avvale di liquidità in pool, il che significa che le transazioni vengono effettuate attingendo alle riserve condivise del contratto, anziché tramite l'abbinamento con una singola controparte. Esistono anche registri degli ordini, sistemi di quotazione e meccanismi di abbinamento diretto.
• Il termine "decentralizzato" descrive uno spettro. Gli aggiornamenti dei contratti, le chiavi amministrative, la governance concentrata, gli oracoli singoli, un unico sito web ufficiale e le stablecoin emesse centralmente reintroducono tutti punti di controllo.
• I bug degli smart contract rappresentano solo uno dei tanti rischi. Nell'ecosistema delle criptovalute in generale, nella prima metà del 2026 sono stati sottratti circa 972 milioni di dollari in 207 episodi di hacking e exploit, e le violazioni a livello di infrastrutture e operazioni hanno rappresentato una quota sproporzionata del valore perso.
• Il rendimento della DeFi deriva dagli interessi pagati dai mutuatari, dalle commissioni di trading, dall’emissione di token da parte della rete, dalle commissioni di liquidazione, dai ricavi del protocollo o dall’emissione di token. Gli smart contract distribuiscono tali flussi, ma non li generano.
• Le transazioni sono solitamente irreversibili e le tutele per i consumatori sono limitate. Il collegamento di un portafoglio convenzionale comporta normalmente la condivisione delle informazioni relative al conto, ma di per sé non autorizza il trasferimento di token. Transazioni, approvazioni, autorizzazioni e altre firme costituiscono le fasi successive, e ogni richiesta dovrebbe essere esaminata.

Cosa significa DeFi?

DeFi è l'acronimo di "finanza decentralizzata". Indica servizi finanziari realizzati sotto forma di contratti intelligenti su blockchain pubbliche, in cui le regole relative al trading, ai prestiti, alle garanzie e al regolamento sono applicate da un codice che gli utenti e altre applicazioni possono esaminare e richiamare, fatte salve eventuali restrizioni codificate nei contratti stessi.

Quattro caratteristiche definiscono questa categoria:

• Regolamento tramite blockchain: Le transazioni e i saldi sono registrati su un registro pubblico anziché nel database di un'azienda.
• Esecuzione degli smart contract: Le regole del protocollo vengono eseguite come codice distribuito anziché come criteri interni.
• Autorizzazione basata sul portafoglio: In genere gli utenti autorizzano le operazioni tramite un portafoglio digitale anziché chiedere a un istituto di aggiornare un conto interno, sebbene le interfacce possano richiedere l'inserimento di credenziali di accesso, chiavi di accesso o verifiche dell'identità.
• Composizione aperta: Molti protocolli DeFi consentono l'integrazione di applicazioni e contratti esterni senza la necessità di stipulare un accordo commerciale privato, sebbene le restrizioni tecniche e relative alle autorizzazioni possano variare.

È importante fare subito due precisazioni. Non tutte le applicazioni blockchain rientrano nella DeFi, poiché gli NFT, i giochi, i sistemi di identità e le app social non rientrano nell’ambito dei servizi finanziari. Inoltre, non tutti i prodotti commercializzati come DeFi sono realmente decentralizzati, poiché un protocollo può funzionare on-chain pur se un piccolo gruppo mantiene il potere di aggiornare i suoi contratti o di sospendere i suoi mercati.

Per dare un’idea delle dimensioni, il valore totale bloccato (TVL) nel settore DeFi si attestava a circa 71,8 miliardi di dollari a metà giugno 2026, in calo di circa il 37% rispetto a gennaio e ben al di sotto del picco di novembre 2021, vicino ai 177 miliardi di dollari, con Ethereum che ne deteneva poco più della metà. All’inizio di agosto 2026, tale valore era pari a circa 75,2 miliardi di dollari. La curva del TVL a lungo termine riportata di seguito mostra perché ogni singola cifra rappresenta solo un punto di riferimento: il dato oscilla notevolmente a ogni ciclo di mercato.

Tuttavia, il TVL è un indicatore imperfetto. Le variazioni del prezzo dei token possono influenzarlo anche in assenza di nuovi depositi, le posizioni composte possono rappresentare più volte la stessa esposizione economica sottostante e i fornitori adottano criteri di calcolo diversi. Inoltre, non si tratta né di ricavi, né di numero di clienti, né di depositi assicurati.

L’offerta globale di stablecoin, pari a circa 300 miliardi di dollari, era di gran lunga superiore al TVL della DeFi. Il confronto non è del tutto omogeneo, poiché le stablecoin circolano anche attraverso gli exchange, i sistemi di pagamento e i portafogli privati, ma dimostra che la loro utilità si estende ben oltre le risorse depositate nei protocolli DeFi. Se rappresentate graficamente insieme, la capitalizzazione di mercato delle stablecoin risulta essere la linea più ampia e stabile, mentre il TVL è quella più volatile.

Come funziona la DeFi?

La DeFi funziona come una struttura a livelli. Ogni livello svolge un compito che altrimenti sarebbe svolto internamente da una banca o da un intermediario, e ogni livello comporta le proprie dipendenze.

Nessuno di questi livelli si autoalimenta. Lo stack è sviluppato e mantenuto da una comunità di sviluppatori numerosa, seppur concentrata: solo nei progetti principali, il numero settimanale degli sviluppatori principali supera ampiamente le quattro cifre.

Persino gli utenti esperti di criptovalute fanno fatica a tenerne conto. In una discussione in prima persona, un utente di Reddit che ha dichiarato di aver trascorso cinque anni nel mondo dei bitcoin e di aver effettuato migliaia di transazioni si è comunque descritto come "faccio fatica a capire questa bestia che è la DeFi." Questa distinzione è importante: l'invio di asset, la gestione delle autorizzazioni dei wallet e la valutazione degli aspetti economici del protocollo sono competenze diverse, e ciascuna di esse può fallire secondo i propri criteri.

Blockchain

La blockchain garantisce l'ordinamento delle transazioni, il regolamento, lo stato condiviso e una registrazione di chi possiede cosa. Inoltre, determina il costo e la velocità di tutto ciò che opera al di sopra di essa; ecco perché lo stesso protocollo si comporta in modo diverso su Ethereum rispetto a una rete a commissioni basse. Anche l'attività è distribuita in modo disomogeneo tra queste reti, e le catene più trafficate in termini di utenti sono spesso quelle più economiche.

Costi di rete sono solitamente espresse nella criptovaluta nativa della catena, come ad esempio ETH su Ethereum o SOL su Solana. Alcune applicazioni coprono o nascondono tali commissioni tramite gestori di pagamenti, relay o portafogli integrati, ma i principianti dovrebbero partire dal presupposto che sia necessario il token gas della rete, a meno che l’interfaccia non indichi esplicitamente il contrario. Tali livelli di commissione variano di diversi ordini di grandezza da una rete all’altra.

Contratti intelligenti

A Uno smart contract è un codice implementato verso un indirizzo blockchain in grado di custodire asset e trasferirli quando vengono soddisfatte determinate condizioni. Nella DeFi, i contratti gestiscono la liquidità messa in comune, calcolano gli interessi, determinano il prezzo degli swap, monitorano le garanzie e eseguono le liquidazioni.

L'affermazione comune secondo cui un contratto implementato non può mai essere modificato è vera solo in alcuni casi. L'immutabilità si colloca su uno spettro:

La maggior parte dei protocolli di grandi dimensioni si colloca a metà di tale elenco. La possibilità di aggiornamento è spesso una caratteristica di sicurezza, poiché consente di correggere i bug e di adeguare i parametri di rischio. Significa anche che il codice che hai esaminato potrebbe non essere lo stesso che verrà eseguito il mese prossimo: si tratta di un problema della “Nave di Teseo” con i tuoi soldi al suo interno. Anche un token di prim’ordine mostra questo schema: l’indirizzo on-chain dell’USDC è un proxy che delega a un contratto di implementazione, come risulta chiaramente dalla sua fonte su Etherscan.

Portafogli e interfacce

A portafoglio con custodia autonoma gestisce le chiavi o altre credenziali che autorizzano le transazioni, mostra le posizioni e richiede l'approvazione delle azioni. L'indirizzo di un wallet funge da identificatore on-chain per un account o un contratto. È pseudonimo, sebbene la sua attività possa eventualmente essere ricondotta a una persona, e una singola persona possa controllare più indirizzi. Non è prevista la reimpostazione della password.

L’interfaccia è il sito web o l’app che ti aiuta a costruire una transazione: fornisce le quotazioni, individua i percorsi, formatta la richiesta e chiede al tuo wallet di firmare. Di solito funziona su una normale infrastruttura web. Questa separazione comporta due conseguenze che vale la pena tenere ben presenti. Un’interfaccia può scomparire mentre i contratti continuano a funzionare, e un’interfaccia può essere compromessa mentre i contratti rimangono perfettamente integri. Nel marzo 2026, alcuni hacker hanno compromesso il dominio del progetto Solana Bonk.fun e hanno mostrato ai visitatori una richiesta che prosciugava il loro portafoglio senza toccare in alcun modo i contratti sottostanti.

Anche il livello di traduzione tra il codice e l’utente è più fragile di quanto sembri. Un utente della DeFi ha descritto gran parte dell’esperienza di firma come "cieco" o illeggibile. Il commento è soggettivo, ma il problema di fondo è reale: un wallet può visualizzare il nome di un metodo, un messaggio digitato o dati esadecimali senza tradurli nelle modifiche effettive relative alle risorse e alle autorizzazioni. Un sito web dall’aspetto familiare non può sostituire la comprensione dell’autorizzazione che si ha davanti.

Asset, oracoli e governance

I protocolli DeFi non dipendono solo dal codice degli smart contract. Ogni livello introduce dipendenze, compromessi e modalità di guasto distinti che determinano il grado di decentralizzazione e di sicurezza di un protocollo nella pratica

• Risorse: La DeFi opera su monete native, stablecoin, asset “wrapped”, token di staking liquido e token di ricevuta che rappresentano le posizioni. Stablecoin sono fondamentali per gran parte della DeFi, fungendo da unità di conto, garanzie, attività di prestito e coppie di scambio. Ciò le rende un’infrastruttura fondamentale e una delle principali fonti di centralizzazione: una stablecoin garantita da valuta fiat dipende dalle riserve del proprio emittente, dai rapporti bancari e dai controlli contrattuali, compresa la capacità di congelare gli indirizzi. Un protocollo può essere completamente decentralizzato a livello di contratto, mentre la sua garanzia principale è emessa da un’unica società.
• Oracoli: Uno smart contract è geniale e cieco. È in grado di eseguire alla perfezione una liquidazione da un milione di dollari, ma non ha la minima idea di quanto valga l’ETH, a meno che qualcuno non glielo dica. Oracoli forniscono tali dati e introducono specifiche modalità di malfunzionamento: aggiornamenti obsoleti, mercati poco liquidi e facili da manipolare, configurazioni errate e compromissione delle chiavi che firmano il feed. Nel luglio 2026, un aggressore ha compromesso una chiave di firma dell’oracolo presso Ostium, ha inviato dati sui prezzi falsificati e ha sottratto circa 18 milioni di dollari. Non è stata necessaria alcuna falla nella logica di base del contratto.
• Governance: Qualcuno decide quali asset fungono da garanzia, quali siano i tassi di interesse massimi, quale oracolo utilizzare e quando sospendere le operazioni. Tale autorità spetta solitamente a un token di governance, a un sistema di delega, a una firma multipla (multisig), a un timelock e, talvolta, a un consiglio di emergenza. È proprio nella governance che, nella pratica, si risponde alla domanda “chi comanda?”.

Una transazione DeFi passo dopo passo

Di seguito viene descritto uno swap ERC-20 tipico su Ethereum o su una rete compatibile con Ethereum. Altre blockchain utilizzano autorizzazioni per i token, code di transazioni e modelli di commissioni diversi.

Scambiare USDC con ETH su una exchange decentralizzato sembra che basti un clic e coinvolga diversi sistemi distinti:

1. Si apre un'interfaccia. Questa carica i dati del pool tramite un provider RPC, ovvero un servizio del nodo che legge la catena per conto dell'utente.
2. L'interfaccia indica un percorso, eventualmente suddividendo l'operazione tra diversi pool per ridurre l'impatto sul prezzo.
3. Si collega il proprio portafoglio. Di norma, questa operazione comporta la condivisione dell’indirizzo e dei dati dell’account. Di per sé, non comporta il trasferimento di asset né concede l’autorizzazione a effettuare spese.
4. Se necessario, approvi la spesa dei token. In questo modo concedi a un indirizzo specificato l'autorizzazione a trasferire fino a un importo prestabilito dei tuoi USDC, ora o in un secondo momento.
5. Tu controlli e firmi. L’importo minimo ricevuto, la tolleranza di slippage e la commissione di rete vengono tutti impostati qui, e la tua chiave autorizza la chiamata specifica.
6. La transazione firmata viene inviata alla rete o a un sequenziatore di rollup. A seconda del sistema, può entrare in un mempool pubblico, in un flusso di ordini privato o in un’altra coda di transazioni.
7. Il contratto viene eseguito. Verifica i saldi, calcola l'output dalle riserve del pool, applica l'importo minimo richiesto, preleva la commissione di swap e aggiorna le riserve.
8. Un validatore o un sequenziatore di rollup ordina la transazione. Su un layer 2, è possibile ricevere una conferma preliminare prima che il lotto di transazioni raggiunga il regolamento definitivo sulla catena sottostante.

In ogni fase può verificarsi un problema, e le modalità di guasto sono tutte diverse:

Ciò che l'interfaccia non controlla: la logica del contratto, la conferma della blockchain, l'emittente del token, i dati dell'oracolo o le tue chiavi. Si tratta di rapporti di fiducia distinti che, per così dire, si presentano tutti attraverso un'unica schermata.

Cosa stai effettivamente firmando

La maggior parte delle perdite evitabili deriva dall’approvazione di operazioni che l’utente non ha compreso. Questi sono i tipi di richiesta che un wallet ti presenterà.

Alcuni wallet e strumenti di sicurezza simulano le probabili modifiche alle risorse e alle autorizzazioni prima della firma. La simulazione può ridurre il rischio di firmare alla cieca, ma si tratta di una previsione basata sullo stato attuale e sul comportamento noto del contratto, piuttosto che di una garanzia di sicurezza.

Cosa rende la DeFi decentralizzata?

Per valutare se un sistema DeFi sia realmente decentralizzato, è necessario andare oltre l’interfaccia ed esaminare come siano distribuiti il potere, le infrastrutture e il processo decisionale.

Il decentramento è uno spettro

Il decentramento è un insieme di caratteristiche indipendenti, non un'unica etichetta. Un protocollo può ottenere buoni risultati in alcuni aspetti e risultati mediocri in altri.

Frase chiave: Il fatto che un servizio finanziario operi su una blockchain non dimostra che sia decentralizzato.

La concentrazione di potere non è una preoccupazione puramente teorica. Nel luglio 2026, secondo quanto riferito, un hacker avrebbe speso circa 4,4 milioni di dollari per acquisire una quantità di BONK sufficiente a soddisfare il requisito di quorum, per poi far approvare una proposta che prevedeva il trasferimento di circa 20 milioni di dollari dalla tesoreria di BonkDAO.

I resoconti hanno descritto il voto come favorevole al 99,9% in un contesto di bassissima affluenza, il che ha permesso a un singolo attore, mosso da interessi economici, di diventare determinante. Il codice ha funzionato esattamente come previsto, ed è proprio questo il problema. Anche le DAO di punta concentrano fortemente il potere di voto, come dimostra una tipica votazione su Uniswap: l’esito è deciso da una manciata di delegati, ciascuno dei quali controlla un quinto o più dei voti espressi.

Protocolli vs Front-end

Questi termini vengono usati in modo intercambiabile, ma hanno significati diversi:

• Protocollo: gli smart contract, i mercati e le regole.
• dApp: un'applicazione realizzata per interagire con tali contratti.
• Parte anteriore: il sito web o l'app che vedi.
• DAO: la struttura di governance in grado di modificare i parametri o il codice.
• Portafoglio: il responsabile delle chiavi che autorizza le azioni.

Un front-end può essere messo offline dai suoi operatori o bloccato nel proprio Paese, mentre i contratti continuano a funzionare e rimangono accessibili tramite altre interfacce; ecco perché "il sito è inattivo" e "il protocollo ha smesso di funzionare" sono affermazioni diverse.

Custodia autonoma vs decentralizzazione

Si tratta di concetti distinti, e confonderli è un errore comune.

La custodia autonoma elimina il rischio che un custode, che controlla le tue chiavi, perda gli asset o rifiuti un prelievo. Tuttavia, non impedisce a un emittente di token di bloccare un indirizzo, a un protocollo di sospendere le proprie funzioni o a una rete di diventare indisponibile. 

Il termine “decentralizzazione” indica se il controllo sul sistema è distribuito. È possibile detenere le proprie chiavi pur utilizzando un protocollo che una multisig a cinque firmatari potrebbe aggiornare domani, così come è possibile detenere un token in custodia autonoma il cui emittente potrebbe inserire il proprio indirizzo nella lista nera.

A cosa serve la DeFi?

Due modelli ricorrono in tale elenco. Gran parte di questa attività è di tipo “pooled”, il che significa che si effettuano transazioni tramite un contratto condiviso che detiene il capitale di molti utenti, anziché negoziare con una singola controparte; tuttavia, sono comuni anche i registri degli ordini, i sistemi di richiesta di quotazione e i solver basati sull’intento, in particolare nel settore dei derivati e sulle catene ad alta velocità di elaborazione. Inoltre, la maggior parte di queste operazioni utilizza le stablecoin come asset di base. Per la maggior parte delle persone, la DeFi parte da un asset che già possiedono e che intendono conservare.

Come funziona il prestito DeFi

I fornitori versano fondi in un pool. I mutuatari forniscono garanzie e prelevano dallo stesso pool. Gli interessi maturati vengono accantonati nel pool; il protocollo trattiene una quota e il resto viene distribuito ai fornitori. I liquidatori chiudono le posizioni che diventano a rischio.

Garanzie e rapporto prestito/valore

La maggior parte dei prestiti DeFi è sovracollateralizzata perché i contratti non sono in grado di valutare il reddito, l'identità o le intenzioni. Anziché effettuare una valutazione del mutuatario, il protocollo richiede un valore superiore a quello prestato e monitora costantemente tale rapporto.

La sovracollateralizzazione riduce l’esposizione creditizia del prestatore. Tuttavia, non incide in alcun modo sul rischio legato agli smart contract, sul rischio oracolo, sulla volatilità delle garanzie, sui meccanismi di liquidazione o sulla governance; definire una posizione di questo tipo “a basso rischio” significa fornire un’immagine fuorviante di ciò che si sta effettivamente assumendo.

Tassi di interesse e utilizzo

Utilizzo = risorse prese in prestito ÷ risorse fornite

I tassi derivano da una curva piuttosto che da un comitato. Al di sotto di un punto di utilizzo ottimale, spesso compreso tra l’80% e il 90% per le stablecoin, i costi di finanziamento aumentano gradualmente. Al di sopra di tale soglia, aumentano bruscamente, il che scoraggia ulteriori prestiti e attira depositi, poiché a livelli di utilizzo molto elevati i fornitori non possono ritirare la propria liquidità. In pratica, è possibile osservare come l’APY dell’offerta vari in base alle dimensioni del pool: i tassi salgono quando la liquidità fornita è scarsa rispetto alla domanda di prestiti e diminuiscono quando affluiscono depositi.

In un mercato aggregato semplificato, la tariffa base del fornitore è approssimativamente pari a:

Tasso di offerta ≈ tasso di prelievo × utilizzo × (1 − fattore di riserva)

A ciò si aggiungono separatamente gli incentivi sotto forma di token.

Due conseguenze pratiche. Un tasso di offerta insolitamente allettante e un prelievo limitato spesso si verificano contemporaneamente. Inoltre, un prelievo bloccato non equivale automaticamente a insolvenza: un pool interamente utilizzato può essere temporaneamente illiquido, mentre un pool che detiene crediti inesigibili è a corto di attività che non verranno restituite. Le sospensioni di emergenza complicano ulteriormente la distinzione, poiché alcuni modelli prevedono il congelamento contemporaneo sia dei depositi che dei prelievi.

Liquidazione

Quando una posizione supera la soglia prestabilita, un liquidatore o il meccanismo di liquidazione del protocollo può chiudere la posizione o rimborsare parte del debito in cambio di garanzie e di un incentivo. Alcuni sistemi ricorrono a liquidatori senza autorizzazione; altri utilizzano aste, liquidatori approvati, reti di custodi, meccanismi di sostegno del protocollo o motori di liquidazione interni, pertanto il meccanismo esatto varia a seconda del protocollo.

Il processo è automatico, competitivo e spietato, e si basa sul prezzo fornito dall’oracolo piuttosto che sul valore che si ritiene abbia l’asset. Un feed obsoleto o manipolato può portare alla liquidazione di una posizione che era solida. Nel luglio 2026, un feed dei prezzi del bitcoin manipolato presso un piccolo protocollo algoritmico di stablecoin ha innescato la liquidazione di posizioni precedentemente solide e ha fatto crollare il valore del token di oltre il 99%.

Come funzionano gli exchange decentralizzati

Gli exchange decentralizzati possono avvalersi di diversi modelli per abbinare le operazioni e fornire liquidità.

AMM e pool di liquidità

Un market maker automatizzato dispone di riserve costituite da due o più asset in un contratto e determina il prezzo delle operazioni attingendo da tali riserve tramite una formula. Gli operatori effettuano operazioni di swap con il pool e pagano una commissione, che va a beneficio dei fornitori di liquidità.

I DEX basati sul libro degli ordini funzionano in modo diverso, abbinando le offerte di acquisto e di vendita, e sono comuni nel settore dei derivati e sulle blockchain ad alta capacità di elaborazione. I sistemi di richiesta di quotazione (RFQ) e i solver basati sull’intento, invece, indirizzano gli ordini verso market maker professionali. Tutti questi sistemi sostituiscono il motore di abbinamento e la funzione di custodia della borsa con dei contratti.

Prezzi, slippage ed estrazione

Ogni operazione incide sulle riserve di un pool AMM e, di conseguenza, sul suo prezzo. Lo slippage è la differenza tra il prezzo quotato e quello di esecuzione, e aumenta all’aumentare del volume dell’operazione rispetto alla profondità del pool. Gli arbitraggisti mantengono i prezzi del pool allineati a quelli del mercato più ampio negoziando tale differenza; è proprio in questo modo che le nuove informazioni raggiungono un AMM.

Poiché l'ordine delle transazioni è visibile o acquistabile su molte reti, altri possono effettuare operazioni aggirandoti. Il “sandwiching” è la forma più nota, mentre altre sono l’arbitraggio “back-running”, la “liquidation racing” e le aste con commissioni prioritarie. Un’elevata tolleranza allo slippage equivale a un invito a nozze.

I fornitori di liquidità percepiscono commissioni e si assumono il rischio di divergenza, comunemente denominato perdita temporanea: la differenza tra il detenere una posizione di liquidità e il semplice possesso dei due asset quando il loro prezzo relativo subisce variazioni. Una posizione può generare commissioni in modo continuativo e tuttavia avere un valore finale inferiore rispetto al semplice possesso degli asset; questo è il motivo per cui il rendimento pubblicizzato di un pool non riflette il rendimento effettivo della posizione.

Da dove proviene il rendimento della DeFi?

Gli smart contract distribuiscono i flussi economici ma non li generano, quindi ogni percentuale riportata su ogni dashboard è finanziata da qualcuno. Un semplice test permette di capire gran parte della situazione: questo rendimento esisterebbe ancora se domani cessassero i premi in token? Il divario tra le entrate effettive di un protocollo e i token che distribuisce può essere enorme. Aerodrome, ad esempio, ha pagato in incentivi una cifra di gran lunga superiore a quella che ha guadagnato in tre anni.

Inoltre, il tasso annuo effettivo (APY) indicato non corrisponde al profitto effettivo. Esso può basarsi su ipotesi di tassi invariati, prezzi stabili dei token di ricompensa e capitalizzazione continua, escludendo al contempo i costi del gas, lo slippage, le commissioni di performance, i costi di finanziamento, la perdita impermanente, le liquidazioni e le imposte.

DeFi vs finanza tradizionale e CeFi

Tre precisazioni su affermazioni che sentirete ovunque. La DeFi è pseudonima e pubblica, non privata, e l’unica questione aperta è se un indirizzo possa essere collegato a una persona. Le commissioni cambiano destinatario senza scomparire, perché gli utenti continuano a pagare commissioni di rete, commissioni di swap, interessi sui prestiti, penali di liquidazione, commissioni di bridge, slippage e commissioni di iscrizione. E non c’è modo di tornare indietro: nessun chargeback, nessuna procedura di contestazione e nessuna linea di assistenza con autorità sulla tua posizione.

CeFi significa finanza crittografica centralizzata: piattaforme di scambio, broker, istituti di credito, depositari e prodotti di rendita gestiti da società.

Il fascino risiede in parte nell’aspetto economico e in gran parte nel controllo. Un utente di Reddit lo ha sintetizzato come la possibilità di “guadagna sulla blockchain, mantieni il controllo dei tuoi fondi, spendi nella vita reale senza dover chiedere il permesso a un CEX." Ciò descrive l'esperienza di controllo dell'utente, non l'assenza di dipendenze. La soluzione potrebbe comunque basarsi su un fornitore di wallet, un emittente di stablecoin, un oracolo, un sequencer e un amministratore del protocollo.

Nessuno dei due modelli è più sicuro in modo generalizzato. I fallimenti della CeFi tendono ad essere legati al bilancio e a comportamenti scorretti. I fallimenti della DeFi tendono invece a essere legati al codice, alle chiavi e all’infrastruttura. La distinzione che conta di più nella pratica quotidiana è chi può impedirti di prelevare.

DeFi vs criptovalute e Web3

• Il termine "cripto" indica la categoria generale degli asset digitali e dei sistemi blockchain.
• La DeFi è il sottoinsieme che fornisce servizi finanziari tramite smart contract.
• Web3 è un concetto più ampio che riguarda le applicazioni e i dati di proprietà degli utenti, di cui la DeFi costituisce la componente finanziaria.
• Un DEX è un tipo di applicazione DeFi, ma non è sinonimo di DeFi.
• Lo staking a livello di base è un meccanismo di sicurezza della blockchain. Staking liquido I protocolli e i derivati di staking rientrano nella DeFi; gestire un validatore, invece, no.
• Una DAO è una struttura di governance. Molte DAO gestiscono protocolli DeFi, ma le DAO stesse non sono intrinsecamente finanziarie.
• Il protocollo di base di Bitcoin non viene solitamente descritto come una piattaforma DeFi generica, sebbene le applicazioni che utilizzano BTC "wrapped", le sidechain di Bitcoin, i sistemi di secondo livello o i protocolli nativi di Bitcoin vengano spesso promossi come "Bitcoin DeFi".

I vantaggi della DeFi

La componibilità merita una nota a parte, poiché rappresenta la caratteristica strutturale distintiva della DeFi. Una stablecoin può essere immessa in un mercato di prestiti, il token di ricevuta può essere utilizzato come garanzia in un vault e la posizione nel vault può essere depositata altrove.

Nel migliore dei casi, è davvero impressionante. Un utente di Reddit ha raccontato di aver prelevato il rendimento di una stablecoin da una posizione DeFi e di averlo speso in un negozio nel giro di pochi minuti: "Niente CEX, niente banca, niente cessione della custodia a una piattaforma centralizzata." Tale percorso potrebbe aver coinvolto un protocollo di prestito o di custodia, un emittente di stablecoin, un'applicazione per carte o pagamenti e una normale infrastruttura per gli esercenti. La componibilità risiede nel fatto che tali sistemi collaborano tra loro senza che l'utente debba prima prelevare fondi tramite un exchange centralizzato.

Il settore chiama questo fenomeno “Money Legos”. Le stesse connessioni che consentono il riutilizzo della liquidità permettono anche la propagazione di un’insolvenza: nell’incidente di KelpDAO dell’aprile 2026 descritto di seguito, i token di ricevuta non garantiti sono stati utilizzati come garanzia in diversi protocolli di prestito, lasciando crediti inesigibili in piattaforme che nessuno aveva attaccato.

Rischi della DeFi

Il rendimento del capitale è più importante del rendimento sul capitale, e i dati recenti confermano questa priorità. Nell’ecosistema delle criptovalute nel suo complesso, in 207 episodi di hacking e attacchi informatici sono stati sottratti circa 972 milioni di dollari nel primo semestre del 2026, e le vulnerabilità a livello di infrastrutture e operative hanno rappresentato una quota sproporzionata del valore perso. La frequenza mensile delle perdite è irregolare, caratterizzata da singoli incidenti occasionali di entità molto elevata piuttosto che da un flusso costante.

Anche i dati relativi agli exploit su un arco di tempo più lungo confermano questa tendenza: gli exploit legati ai “flash loan” e alla manipolazione degli oracoli sono scesi da quasi il 19% delle perdite nel 2022 a meno dell’1% entro il 2025, mentre la compromissione delle chiavi private ha causato i singoli incidenti di maggiore entità. La superficie di attacco si è spostata dal codice alle persone e alle infrastrutture che lo circondano.

Rischi legati agli smart contract

Bug, difetti logici, aggiornamenti difettosi ed errori di progettazione economica possono tutti compromettere un contratto. Le verifiche e il tempo trascorso in produzione riducono l’incertezza individuando classi note di problemi ed esponendo il codice agli attacchi degli avversari. Non possono però certificare la correttezza di un modello economico, coprire una modifica rilasciata la settimana scorsa né prevedere cosa potrebbe fare un detentore di chiavi con privilegi. Considerate la dicitura «verificato» come prova dell’impegno profuso e non come garanzia di sicurezza.

Oracle e il rischio legato alle stablecoin

Ciascuna delle modalità di malfunzionamento dell’oracolo descritte in precedenza (prezzi obsoleti, mercati facilmente manipolabili, configurazioni errate e compromissione delle chiavi di firma) si traduce in un esito finanziario specifico: liquidazioni forzate, garanzie valutate in modo errato o emissione di token senza copertura.

Il rischio legato alle stablecoin è distinto ma altrettanto strutturale. Una stablecoin garantita da valuta fiat può perdere l’ancoraggio, il suo emittente può bloccare indirizzi specifici a livello di contratto del token anche se l’utente detiene le proprie chiavi, e l’accesso alle riserve può essere interrotto, poiché USDC come ha dimostrato il breve distacco dal peg del 2023 in seguito al fallimento di una banca. Poiché la maggior parte delle posizioni DeFi è denominata in stablecoin, quasi tutti gli utenti sono esposti a questo rischio.

Governance e rischi legati alle chiavi amministrative

Chiedi chi può aggiornare i contratti, chi può mettere in pausa il sistema, chi definisce i parametri delle garanzie, quanto sia concentrato il diritto di voto, se esiste un “timelock” e se gli utenti possono recedere prima che una modifica entri in vigore.

Una bassa partecipazione, unita alla natura liquida dei token di governance, fa sì che il potere di voto possa essere semplicemente acquistato, come ha dimostrato il prosciugamento della tesoreria di BonkDAO. L’affluenza alle votazioni nelle principali DAO lo conferma: anche un protocollo maturo come Aave registra in genere una partecipazione pari solo a una piccola percentuale del potere di voto avente diritto.

Le firme multiple amministrative e i comitati di emergenza rappresentano il problema opposto: sono preziose in caso di crisi, ma costituiscono un rischio costante nel resto del tempo.

Rischi legati alle ponti e alla blockchain

Ponti hanno causato alcune delle perdite più ingenti nel settore delle criptovalute, poiché detengono asset in pool e dipendono dai verificatori che attestano gli eventi su un’altra catena. Nell’aprile 2026, gli hacker ha sfruttato la configurazione del bridge con un unico verificatore di KelpDAO dopo aver compromesso l'infrastruttura RPC. Il bridge ha accettato un messaggio cross-chain contraffatto e ha sbloccato circa 292 milioni di dollari in rsETH, nonostante gli asset corrispondenti non fossero stati bruciati sulla catena di origine. Non si è verificata alcuna anomalia nei calcoli del contratto; al verificatore sono stati semplicemente mostrati dati falsi.

I rischi legati alla blockchain includono la congestione, che rende le transazioni di piccolo importo economicamente insostenibili, le interruzioni di servizio e la struttura a sequenziatore unico di molte reti di livello 2, in cui un singolo operatore può impedire l’inserimento delle transazioni.

Rischio di mercato e di liquidazione

Volatilità, scarsa liquidità, slippage, liquidazioni a cascata e crediti inesigibili sono rischi di mercato comuni, amplificati dalla leva finanziaria e dall’automazione. Le liquidazioni vengono eseguite in pochi secondi sulla base dei prezzi forniti dagli oracoli, senza alcuna discrezionalità né preavviso, e in caso di forte volatilità le garanzie e la liquidità necessarie per chiuderle possono variare in un istante.

Rischio legato al portafoglio e all'approvazione

È proprio qui che la maggior parte dei principianti finisce per perdere denaro, e questo non ha nulla a che vedere con la qualità del protocollo.

Un’approvazione di token concede a un indirizzo di spesa specificato il permesso di trasferire fino a un importo prestabilito di un token dal tuo portafoglio, e tale autorizzazione può rimanere attiva anche dopo la conclusione della transazione immediata. È come se fosse un ospite che conserva una copia della tua chiave: innocuo finché tutti vanno d’accordo, ma un problema nel momento in cui l’ospite viene compromesso. Storicamente, molte interfacce richiedevano limiti di spesa di fatto illimitati per motivi di praticità, e tali autorizzazioni rimangono generalmente attive fino a quando non vengono esaurite, sostituite o revocate. Se un destinatario autorizzato viene successivamente compromesso, le risorse ancora presenti nel portafoglio potrebbero essere esposte a rischi. Queste autorizzazioni si accumulano silenziosamente; una dashboard delle autorizzazioni per un indirizzo attivo può elencarne migliaia, molte delle quali illimitate.

Una firma di autorizzazione senza gas può autorizzare un trasferimento tramite un messaggio firmato anziché un’approvazione on-chain, motivo per cui merita lo stesso livello di attenzione di una transazione. Nel luglio 2026 un trader ha perso circa 1 milione di dollari dopo aver firmato un’autorizzazione dannosa che sembrava una normale autorizzazione di swap.

Le storie più istruttive sono solitamente quelle meno tecniche. In un racconto in prima persona pubblicato su Reddit, un utente ha riferito di aver perso circa 35.000 dollari dopo che una transazione di prelievo fallita lo ha spinto a cercare aiuto e un falso account di assistenza gli ha inviato un link. "Nel tentativo di guadagnare altri 8-9 dollari, ho perso 35.000 dollari e la mia libertà finanziaria,"hanno scritto. 

Secondo quanto riportato, il protocollo di farming non è mai stato violato: l’utente ha inserito una chiave privata nel sito di phishing, che ha ceduto il wallet stesso, e l’autore dell’attacco ha quindi prosciugato i saldi e chiuso le posizioni. Considerate l’importo e la sequenza come riportati dalla segnalazione dell’utente, a meno che non siano confermati dai registri on-chain. Il meccanismo, tuttavia, è preciso e vale la pena memorizzarlo: collegare un wallet non rivela una chiave privata, mentre digitare una chiave o una frase di recupero in qualsiasi contesto compromette tutto.

Misure di protezione pratiche: verificare il dominio invece di fidarsi degli annunci di ricerca, leggere ciò che una firma autorizza piuttosto che la pagina circostante, mantenere aggiornato il firmware del portafoglio hardware in modo da consentire una visualizzazione leggibile dei contenuti, preferire importi esatti a quote illimitate e verificare periodicamente le autorizzazioni permanenti con uno strumento come Revoke.cash. La revoca comporta un costo in gas e rimuove le autorizzazioni non più necessarie; non consente di recuperare ciò che è già stato sottratto.

Rischi infrastrutturali e legali

Interruzioni del front-end, dirottamenti DNS, censura RPC e malfunzionamenti del sequencer possono tutti impedire l’accesso o indurre in errore gli utenti, pur se i contratti continuano a funzionare normalmente. I rischi legali includono restrizioni relative alle interfacce nella propria giurisdizione, l’esposizione a sanzioni, l’applicazione di provvedimenti nei confronti di operatori o sviluppatori e l’assenza di una procedura di risoluzione delle controversie in caso di problemi.

Anche in questo contesto si riscontrano due oneri amministrativi. Gli adempimenti fiscali sono particolarmente onerosi, poiché ogni swap, richiesta di ricompensa, wrap e liquidazione può costituire un evento soggetto a segnalazione, e la cronologia on-chain non equivale a una dichiarazione fiscale. Inoltre, poiché non è prevista la possibilità di recuperare l’account, la frase di recupero detenuta da una sola persona rappresenta un punto di fallimento unico per chiunque dovrebbe altrimenti ereditare gli asset.

Idee sbagliate comuni

Cosa non funziona ancora bene nella DeFi

La DeFi presenta ancora punti deboli nei seguenti ambiti: credito al consumo non garantito, prestiti basati sull’identità, annullamento di transazioni fraudolente e chargeback, risoluzione delle controversie, depositi assicurati, garanzie off-chain complesse, protezione degli utenti inesperti dalle loro stesse firme e transazioni private su scala mainstream. I prestiti sovragarantiti su asset volatili rappresentano un prodotto molto più limitato rispetto al sistema creditizio con cui vengono confrontati.

La DeFi è regolamentata?

La DeFi non è un vuoto giuridico. Le leggi possono applicarsi agli operatori, agli sviluppatori, ai fornitori di interfacce, agli emittenti di token, ai partecipanti alla governance e ad attività specifiche, e gli obblighi variano a seconda della giurisdizione e dell'attività svolta.

La situazione ha subito notevoli cambiamenti nel corso del 2026.

• Stati Uniti: Il GENIUS Act ha istituito nel 2025 un quadro normativo federale per le stablecoin di pagamento. Nel marzo 2026, il La SEC e la CFTC hanno pubblicato un'interpretazione congiunta che spiega come le leggi federali sui titoli si applichino a diverse categorie di cripto-asset e attività, tra cui il mining, lo staking di protocolli e il wrapping. L’interpretazione ha distinto categorie quali le materie prime digitali e le stablecoin di pagamento, ma non ha risolto tutte le questioni che riguardano le interfacce DeFi, i partecipanti alla governance o i fornitori di liquidità. Il Digital Asset Market CLARITY Act, che avrebbe stabilito le regole di struttura del mercato, era stato approvato dalla Camera dei Rappresentanti e aveva superato il voto della Commissione bancaria del Senato entro la metà del 2026 senza diventare legge; si prega di consultare il registro congressuale attuale per verificarne lo stato.
• Unione europea: Il periodo transitorio finale previsto dal MiCA è scaduto il 1° luglio 2026. L'ESMA ha affermato che i fornitori sprovvisti di autorizzazione alla scadenza dovrebbero cessare l'attività fornire i servizi in questione in modo ordinato, garantendo al contempo la tutela dei clienti. Alcuni fornitori avevano ottenuto l’autorizzazione, mentre altri, che operavano in base a precedenti regimi nazionali, non l’avevano ottenuta. Il trattamento previsto dal MiCA per i servizi forniti in modo effettivamente decentralizzato rimane giuridicamente complesso.
• Regno Unito: Nel corso del 2026 il Regno Unito ha continuato a sviluppare il proprio quadro normativo relativo alle attività nel settore delle criptovalute. Il fatto che una determinata piattaforma DeFi, un operatore, uno sviluppatore o un fornitore di servizi tecnici rientri o meno nei requisiti di autorizzazione dipende dalla funzione svolta piuttosto che dalla sola etichetta “DeFi”.

Cosa ne consegue per gli utenti: la disponibilità tecnica non implica un accesso legittimo; il decentramento può complicare l'applicazione della legge senza tuttavia costituire un'esenzione; l'accesso a una determinata interfaccia può variare senza che ciò comporti alcuna modifica ai contratti sottostanti. Verificate le norme vigenti nella vostra giurisdizione, poiché questa sezione descrive una situazione in evoluzione.

Come utilizzare la DeFi

La sequenza è più importante della velocità. Sapere come acquistare un asset non equivale a comprendere le reti, le approvazioni, il gas e le transazioni che si autorizzano, quindi è meglio iniziare dai portafogli e dalle nozioni di base sulla sicurezza.

1. Scegli una rete e informati sulle sue commissioni, sulla definitività delle transazioni e sul suo ecosistema.
2. Detenere l'asset di gas della rete. Un wallet che contiene solo stablecoin su Ethereum normalmente non può trasferirle a meno che l'applicazione non si faccia carico o non copra la commissione.
3. Utilizza un portafoglio in custodia autonoma ed esegui il backup della frase di recupero offline. Nessuno potrà ripristinarla al posto tuo.
4. Verifica il protocollo. Accedi alle interfacce tramite segnalibri o alla documentazione ufficiale e controlla gli indirizzi dei contratti in modo indipendente.
5. Controlla la rete e l'indirizzo del token prima di effettuare una transazione. Lo stesso indirizzo può esistere su diverse catene e i contratti di token simili tra loro sono piuttosto comuni.
6. Stabilisci la connessione, quindi esamina ogni richiesta. Una connessione convenzionale di norma non comporta il trasferimento di fondi, ma può rivelare informazioni sul conto e stabilire una sessione persistente.
7. Concedere autorizzazioni minime. Privilegiare importi precisi e permessi di breve durata rispetto a quote illimitate.
8. Inizia con piccoli importi. Testa qualsiasi nuovo protocollo, blockchain o bridge con una somma che saresti disposto a perdere.
9. Controlla le commissioni e lo slippage prima di confermare l'operazione e ricorda che una tolleranza elevata allo slippage aumenta il rischio di "sandwiching".
10. Tieni sotto controllo le posizioni. La qualità delle garanzie, il loro utilizzo e i tassi variano senza che tu ne venga informato.
11. Revoca le approvazioni inutilizzate secondo una pianificazione prestabilita.
12. Tieni un registro man mano che procedi, perché ricostruire a posteriori un intero anno di operazioni di swap e richieste di rimborso a fini fiscali è molto più difficile.
13. Predisporre un piano di recupero e di successione, affinché la perdita di una frase o un decesso non blocchino definitivamente i beni.

Come valutare un protocollo DeFi

Considerazioni finali

La versione più semplice della storia della DeFi, secondo cui essa elimina gli intermediari, è quella che vale la pena superare. Una banca svolge diversi compiti contemporaneamente: detiene attività, esegue transazioni, valuta il rischio, raccoglie dati, stabilisce regole, risolve controversie e assorbe alcune perdite. La DeFi ripartisce tali compiti tra una blockchain, un insieme di contratti, un oracolo, un’interfaccia, un provider RPC, un emittente di stablecoin, un sistema di governance e te. La fiducia viene ridistribuita anziché eliminata.

Tale ridistribuzione garantisce vantaggi concreti: regolamento continuo, libero accesso a livello contrattuale, denaro programmabile, codice verificabile e liquidità che qualsiasi applicazione può riutilizzare. Inoltre, ridefinisce le responsabilità, e i dati sulle perdite del 2026 lo dimostrano chiaramente, poiché una quota sproporzionata di quanto è stato sottratto è da attribuire a compromissioni dell’infrastruttura e delle operazioni piuttosto che a bug contrattuali.