Come gli aggressori si sono affrettati a trasferire 6,3 miliardi di dollari

L’attacco contro l’exchange Binance, stimato in circa 6,3 miliardi di dollari, rimane il più significativo nella storia delle criptovalute: nonostante le misure di congelamento adottate dai principali emittenti di token, gli autori continuano a detenere diverse miliardi in asset sottratti.

L’intrusione, iniziata alle 20:04 UTC di giovedì, è stata attribuita a gruppi collegati alla Corea del Nord, analoghi a quelli ritenuti responsabili dell’attacco al Bitget del mese precedente. In poche decine di minuti i malintenzionati hanno iniziato a convertire i token facilmente bloccabili in criptovalute native più difficili da isolare.

La strategia era chiara: trasformare stablecoin soggette a blacklist, come USDT e USDC, in asset non emessi centralmente come BTC e ETH, così da rendere più complesso il recupero dei proventi.

Dickson Wu, ingegnere di CertiK, ha ricostruito che circa 500 milioni di USDT sono stati inviati a un singolo indirizzo e che 325 milioni sono stati convertiti in ETH entro le 20:59 UTC, meno di un’ora dall’inizio dell’attacco.

La corsa dei criminali si è svolta contro i grandi controllori dei mercati delle stablecoin: emittenti centralizzati in grado di congelare risorse custodite a indirizzi specifici. Questa caratteristica ha permesso interventi rapidi, con congelamenti effettuati in pochi minuti dalle prime segnalazioni.

Cosa è stato congelato e come

Tether ha bloccato in totale circa 1,567 miliardi di USDT, con il primo congelamento avvenuto appena 37 minuti dopo che i fondi rubati erano giunti al wallet principale degli attaccanti. Poco dopo, Circle ha bloccato circa 823 milioni di USDC.

Altri emittenti e alcuni protocolli decentralizzati hanno adottato contromisure: ad esempio il Consiglio di Sicurezza di Arbitrum ha spostato circa 30,5 milioni in ARB e ETH in un wallet intermedio congelato, muovendo risorse solo a seguito di ulteriori decisioni del consiglio o di governance.

È importante ricordare che il congelamento non equivale automaticamente al recupero: immobilizzare gli asset impedisce agli autori di spenderli, ma non ne determina il ritorno ai legittimi proprietari senza procedimenti legali e azioni coordinate.

La complicazione introdotta da Aave

Un elemento che ha reso più intricata la situazione è l’intervento sul protocollo di lending Aave. Tra le 20:58 e le 21:01 UTC, un wallet collegato agli attaccanti ha depositato 60 milioni di USDT in Aave V3 su Ethereum e ha preso in prestito circa 44,6 milioni in wrapped ETH (WETH), poco prima dei primi congelamenti.

LlamaRisk ha riferito che, nell’aggiornamento delle 01:00, la posizione risultava coperta da circa 59,9 milioni di USDT come collateral a fronte di un debito di 43,8 milioni, quindi sovracollateralizzata secondo i parametri del protocollo.

Marc Zeller, fondatore di Aave Chan Initiative, ha spiegato:

“L’USDT rappresenta denaro reale garantito in dollari; la posizione è criminale, ma rimane sovracollateralizzata dal punto di vista del protocollo.”

Poiché i fondi erano già entrati nel pool di prestito, non è stato possibile recuperare automaticamente il collateral semplicemente blacklistando l’indirizzo degli attaccanti. Per limitare i rischi, Aave ha temporaneamente congelato alcuni mercati V3 e V4 impedendo nuovi depositi e prestiti, pur consentendo agli utenti di ritirare, rimborsare e liquidare posizioni esistenti.

Quanto possono ancora spendere gli attaccanti?

Secondo le ricostruzioni, entro le 07:00 UTC del giorno successivo erano stati congelati circa 2,84 miliardi di dollari in asset; gli autori detenevano ancora all’incirca 3,33 miliardi di dollari in risorse non bloccabili dagli emittenti.

La distinzione cruciale risiede nella natura degli asset: Bitcoin e Ether non hanno un emittente centrale in grado di inserire un meccanismo di “spegni” per indirizzi specifici. Una volta convertito il bottino in queste valute native, diventa molto più difficile impedire ulteriori movimenti, anche se le tracce sulla blockchain rimangono visibili e utili alle indagini forensi.

Binance ha dichiarato di coprire eventuali perdite con il proprio fondo di emergenza SAFU e risorse aziendali, rassicurando che gli asset degli utenti sono al sicuro. Richard Teng ha dichiarato:

“Stiamo recuperando gli asset rubati per gli utenti.”

Contestualmente, l’exchange ha affermato di collaborare con le forze dell’ordine e con società di analisi blockchain per tracciare ulteriori movimenti e cercare di recuperare il più possibile.

Implicazioni per mercati e regolamentazione

Un episodio di questa portata evidenzia due questioni strutturali del mercato crypto: la dipendenza dalle stablecoin centralizzate per la liquidità e la vulnerabilità degli ambienti di custodia e integrazione tra exchange e protocolli DeFi. Per i regolatori europei e italiani, casi del genere rafforzano l’urgenza di normative sulla custodia, la trasparenza degli emittenti e requisiti di sicurezza più stringenti previsti anche dal quadro normativo MiCA.

Dal punto di vista degli investitori, l’evento può aumentare la volatilità di breve periodo e accentuare la preferenza per exchange e servizi con solide pratiche di gestione del rischio e coperture assicurative. Per le imprese che integrano servizi crypto nei loro bilanci o per gli asset manager, diventa fondamentale valutare procedure di due diligence su controparte, custodia e piani di recupero in caso di compromissione.

Infine, l’episodio mette in luce l’importanza delle collaborazioni pubblico-private nelle indagini e il ruolo crescente delle società di analytics blockchain per individuare percorsi di riciclaggio e supportare il recupero delle risorse.

In sintesi

• L’incidente accentua il rischio operativo legato all’uso intensivo di stablecoin centralizzate: in caso di attacco, la rapidità del congelamento riduce i margini di perdita, ma non elimina l’esposizione a conversioni rapide in asset non bloccabili.
• Per gli investitori italiani, la priorità strategica è selezionare controparti con solidi meccanismi di custodia, polizze di copertura e procedure trasparenti di gestione degli incidenti.
• Sul piano regolamentare, eventi di questo tipo favoriranno l’adozione di requisiti più rigidi su sicurezza e trasparenza, incrementando il valore di operatori conformi e penalizzando soggetti con standard deboli.