Bitcoin e XRP rubati a Binance in movimento: 3,1 mld non riciclati (Elliptic)

In un’analisi aggiornata venerdì, Elliptic ha rivelato che circa 42 milioni di XRP, per un valore di 50 milioni di dollari, erano stati trasferiti da portafogli collegati all’attacco hacker del 29 ottobre a partire da giovedì pomeriggio. La maggior parte di quei fondi è stata convertita in bitcoin tramite il protocollo di scambio cross-chain THORChain, lasciando circa 192 milioni di XRP, per un valore di 226 milioni di dollari, in possesso degli hacker.

Le ultime transazioni hanno portato la quantità di criptovaluta rubata convertita in bitcoin a circa 1.650 BTC, per un valore di 124 milioni di dollari alla mattina di venerdì. Tale totale è quasi raddoppiato rispetto al giorno precedente, con l’XRP che rappresenta gran parte dell’aumento.

Nonostante l’accelerazione dell’attività, Elliptic ha stimato che negli indirizzi associati al furto rimangano ancora 3,11 miliardi di dollari, principalmente in bitcoin ed ether. I 18.270 BTC originariamente sottratti a Binance, del valore di circa 1,4 miliardi di dollari all’epoca, non si sono mossi da quando sono stati distribuiti su 19 portafogli poco dopo l’attacco. Anche le maggiori riserve di ether rimangono intatte. Elliptic ha stimato che solo circa 3 milioni di dollari dei circa 1,33 miliardi di dollari in ETH rubati siano stati trasferiti attraverso canali di riciclaggio, mentre i nove portafogli ETH più grandi sono rimasti inattivi dal 30 ottobre. Questi risultati segnano una nuova fase negli sforzi degli hacker per nascondere i beni rubati. Come riportato in precedenza da Bitcoin.com News, il 2 novembre gli aggressori hanno trasferito tutti i 233,46 milioni di XRP rubati in sei nuovi portafogli, dopo che i fondi erano rimasti inattivi per circa 80 ore. Giovedì, due di questi portafogli hanno iniziato a distribuire XRP a decine di indirizzi aggiuntivi, e gran parte della criptovaluta è stata successivamente scambiata con bitcoin.

Anche gli asset Solana sono stati al centro dell’operazione di riciclaggio. Elliptic ha scoperto che praticamente tutto il SOL rubato, del valore di circa 87 milioni di dollari ai prezzi attuali, è stato ora scambiato, trasferito tra blockchain o mescolato tramite servizi di privacy. Gran parte del valore convertito è finito infine in portafogli bitcoin.

I ricercatori hanno inoltre identificato circa 2,5 milioni di dollari in bitcoin elaborati tramite transazioni coinjoin in stile Wasabi, che combinano monete provenienti da più utenti per complicare il tracciamento sulla blockchain. Altri 1,1 milioni di dollari in ETH e SOL rubati sono entrati nel protocollo Privacy Cash a partire dal 3 novembre, spingendo il servizio a sospendere temporaneamente i depositi e a rafforzare le proprie procedure di screening.

La rete di riciclaggio si è espansa notevolmente dopo la violazione. Elliptic ha ora identificato oltre 20.000 portafogli su 16 blockchain, che coinvolgono almeno 36 servizi e 65.000 transazioni. Bitcoin.com News ha riportato lunedì che l’operazione aveva coinvolto, a quel punto, circa 12.000 portafogli e 40.000 transazioni.

Una settimana dopo l’attacco a Binance

Dei 6,43 miliardi di dollari originariamente sottratti, circa 2,85 miliardi sono stati congelati o sequestrati, in gran parte grazie all’intervento degli emittenti di stablecoin. Elliptic ritiene che solo una somma trascurabile sia stata effettivamente convertita in fondi spendibili. Spostare asset da un portafoglio all’altro o scambiare una criptovaluta con un’altra non significa necessariamente che i proventi siano stati incassati con successo. L’FBI ha attribuito l’attacco all’operazione di hacking nordcoreana denominata «TraderTraitor», sebbene Pyongyang abbia negato ogni responsabilità.

Martedì Binance ha rivelato che la violazione è stata il risultato di una campagna durata mesi che ha coinvolto software di sviluppo dannoso, colloqui di lavoro fraudolenti e strumenti interni di intelligenza artificiale compromessi. Gli aggressori sono infine riusciti ad accedere all’infrastruttura di firma dei portafogli e hanno eseguito transazioni non autorizzate su numerose blockchain.

Elliptic prevede che le rimanenti riserve di ether vengano gradualmente convertite in bitcoin, seguite da tentativi di scambiare la criptovaluta con denaro convenzionale tramite broker over-the-counter e piattaforme di trading.

L’azienda ha tracciato un parallelo con l’attacco hacker a Bybit del febbraio 2025 — il precedente record di furto di criptovalute con circa 1,5 miliardi di dollari sottratti — quando gli aggressori nordcoreani convertirono circa 499.000 ETH rubati nel giro di 10 giorni, mentre il processo di incasso si protrasse per diversi mesi.

Per ora, la maggior parte dei proventi provenienti da Binance rimane rintracciabile, offrendo agli exchange e agli investigatori ulteriori opportunità di identificare e potenzialmente intercettare i fondi prima che possano essere convertiti in contanti utilizzabili.