Dove finiscono davvero le criptovalute rubate: dentro la macchina del riciclaggio che opera in 45 giorni

Sei anni, oltre 16 miliardi di dollari svaniti

Il furto di criptovalute non è più una fase che il settore degli asset digitali sta lentamente superando, ma un settore a sé stante. A questo punto, solo nell’ultimo mezzo decennio, gli investigatori on-chain hanno registrato un’esplosione dei totali rubati (3,7 miliardi di dollari nel 2022, 1,7 miliardi nel 2023, 2,2 miliardi di dollari nel 2024 e 3,4 miliardi di dollari nel 2025), cifre che non mostrano alcun segno di rallentamento.

Vale infatti la pena sottolineare che quasi la metà del totale dello scorso anno è derivata da un unico evento, ovvero l’attacco hacker a Bybit del febbraio 2025, in cui gli aggressori hanno compromesso il processo di firma del cold wallet dell’exchange e sono fuggiti con 1,5 miliardi di dollari (rendendolo il più grande furto di criptovalute della storia).

La prima metà di quest’anno ha presentato una situazione inquietantemente simile, con un totale di circa 1,1 miliardi di dollari sottratti in un numero record di 212 incidenti, secondo la società di sicurezza Blockaid. Il singolo attacco più ingente è stato l’exploit del 19 aprile ai danni del protocollo di restaking KelpDAO (pari a 293 milioni di dollari), e TRM Labs ha contato 207 incidenti in questi sei mesi, più del doppio rispetto allo stesso periodo dell’anno precedente.

Il copione dei 45 giorni

Ciò che accade tipicamente dopo i furti sopra citati è ormai diventato quasi un copione, con i ricercatori che descrivono un ciclo di riciclaggio ben definito che si svolge in circa 45 giorni in tre fasi.

Dal giorno zero al quinto, la velocità è fondamentale e i token rubati vengono in genere scambiati tramite protocolli di finanza decentralizzata (DeFi) (con picchi di attività che raggiungono il 370%) e convogliati verso servizi di mixing, che raggruppano e rimescolano le monete per spezzare il collegamento tra origine e destinazione. Dal sesto al decimo giorno, i fondi passano da una catena all’altra tramite ponti cross-chain e transitano su exchange con controlli KYC (Know-Your-Customer) limitati.

Successivamente, dal giorno 20 al giorno 45 circa, le monete vengono incassate in piccole tranche (in genere inferiori a 500.000 dollari per rimanere al di sotto delle soglie di segnalazione) tramite piattaforme senza KYC, scambiatori istantanei, e reti over-the-counter (OTC) in lingua cinese, nonché servizi di garanzia come il marketplace Huione, soggetto a sanzioni. Di conseguenza, alla fine del ciclo, il denaro ha attraversato così tante catene, mixer e giurisdizioni che, sebbene l’attribuzione rimanga possibile (poiché le blockchain non dimenticano mai), il recupero è raramente fattibile. Per dare un’idea della situazione, meno del 5% dei fondi rubati a Bybit è mai stato recuperato, nonostante l’exchange avesse dalla propria parte alcuni dei migliori esperti di sicurezza informatica.

2026: più attacchi hacker, bottini più modesti

Quest’anno gli hacker hanno ampliato i propri obiettivi perché, oltre agli exploit dei protocolli come quello di KelpDAO, il solo mese di aprile ha stabilito un record mensile con 641,67 milioni di dollari rubati. I gruppi nordcoreani legati a Lazarus sono stati responsabili di circa il 55% delle perdite del primo semestre, e il conteggio di CertiK, che include il phishing e lo svuotamento di portafogli personali, stima il danno del periodo a 1,32 miliardi di dollari in 344 incidenti.

Più recentemente, l’exploit del portafoglio hardware Coldcard ha dimostrato come il modus operandi si stia adattando anche al bitcoin. Dopo aver prosciugato circa 116 milioni di dollari da portafogli con seed deboli, l’autore dell’attacco ha iniziato a consolidare le monete mentre gli osservatori ne seguivano ogni mossa. Alla luce dell’incidente, i principali punti di forza del bitcoin, ovvero la trasparenza e l’irreversibilità, sono diventati armi a doppio taglio quasi dall’oggi al domani perché, sebbene tutti potessero vedere il movimento delle monete rubate, nessuno poteva riportarle indietro.

Perché il recupero non avviene quasi mai

Quando si verificano tutti questi attacchi, l’unica leva che ha funzionato in modo affidabile più e più volte è il congelamento centralizzato delle stablecoin. Tether e Circle possono inserire gli indirizzi nella lista nera a livello di contratto, bloccando istantaneamente qualsiasi USDT o USDC ancora in possesso dei ladri; ed è proprio per questo che gli hacker più esperti convertono le stablecoin rubate in ether o bitcoin entro pochi minuti dalla violazione, accettando il rischio di prezzo pur di sfuggire al raggio di congelamento.

Si tratta di un’asimmetria rivelatrice: ovvero, gli asset più resistenti alla censura sono i più facili da riciclare, mentre quelli più facilmente congelabili sono i più facili da recuperare. Ogni strategia di riciclaggio è, in definitiva, una corsa per convertire ciò che è rintracciabile in qualcosa di irrintracciabile prima che qualcuno dotato di un “pulsante di pausa” se ne accorga.

La scomoda realtà dei furti di criptovalute è che la prevenzione è praticamente tutto. Gli exchange e le società di analisi possono congelare i fondi che transitano su piattaforme conformi, ed è proprio per questo che i riciclatori si concentrano in primo luogo sulla DeFi e sui mixer, dove nessuno può congelare nulla.

Le sanzioni contro i mixer e servizi come Huione aumentano i costi, ma si limitano a spostare i flussi verso i successori piuttosto che fermarli. E il limite di 45 giorni significa che, quando il procedimento legale transfrontaliero è appena avviato, le monete hanno solitamente già completato il loro percorso.

Per gli utenti e le piattaforme, la lezione è che, una volta rubati, la stragrande maggioranza dei loro fondi non tornerà mai più. Inoltre, il ciclo degli aggressori è più veloce della conformità normativa, e ogni anno che un titolo recita «i furti di criptovalute sono in calo», il prossimo controesempio da un miliardo di dollari è già in atto. La blockchain registra tutto e non restituisce nulla.