L'autore dell'attacco di giugno al rollup Connect deprecato di Aztec ha depositato ulteriori 300 ETH in Tornado Cash, portando il totale movimentato attraverso il mixer a 500 ETH, secondo l'azienda di sicurezza blockchain PeckShield.

L'importanza dei trasferimenti va oltre il loro valore cumulativo. L'hacker ha ora instradato circa il 55% dei 909 ETH sottratti nell'attacco originale attraverso Tornado Cash, ma lo ha fatto in importi variabili anziché in un'unica grande transazione. Questa tempistica scandita suggerisce una strategia di uscita deliberata che evita l'approccio di riciclaggio rapido visto in altri importanti exploit di criptovalute.

Un Flusso Lento Nel Mixer

Il deposito più recente di 300 ETH, valutato all'incirca 572.100 dollari al momento dell'operazione, è stato inviato a Tornado Cash l'8 agosto, secondo PeckShield. Il 2 luglio, l'azienda aveva segnalato un deposito precedente di 145 ETH del valore di circa 227.650 dollari, che aveva portato il totale parziale a 200 ETH.

Invece di movimentare gli ETH rubati in un'unica transazione, l'attaccante ha depositato i fondi in piccoli lotti, con il deposito più recente avvenuto 37 giorni dopo quello precedente.

#PeckShieldAlert The @aztecnetwork Private Rollup Bridge exploiter-labeled address has deposited 145 ETH ($227,650) into #TornadoCash . So far, the exploiter has deposited a total of 200 ETH into #TornadoCash . pic.twitter.com/QJpfsdwtTS — PeckShieldAlert (@PeckShieldAlert) July 2, 2026

Questo approccio è in netto contrasto con l'incidente Beanstalk del 2022. Secondo Merkle Science, quegli attaccanti hanno eseguito 270 trasferimenti per un totale di 24.930 ETH attraverso Tornado Cash, con la maggior parte dei trasferimenti di entità simile ed eseguiti a pochi secondi di distanza l'uno dall'altro.

Il metodo più lento dell'exploiter di Aztec non nasconde completamente i fondi dallo scrutinio. Sebbene Tornado Cash sia stato progettato per recidere il collegamento on-chain tra depositi e prelievi, la tempologia delle transazioni, il comportamento del wallet e l'attività al di fuori del mixer possono ancora rivelare informazioni. TRM Labs ha riferito di aver tracciato fondi nascosti dal mixer utilizzando correlazioni comportamentali e temporali, analisi dell'insieme di anonimato e identificazione dei canali di uscita.

Origini dei Fondi Rubati

I fondi rubati risalgono al 14 giugno, quando un attaccante ha sottratto circa 2,19 milioni di dollari dai contratti obsoleti del rollup Aztec Connect in un singolo trasferimento. Secondo Blockaid, le risorse sottratte includevano 909 ETH, 270.513 DAI, 168 wstETH e altri token.

Un secondo attacco è seguito appena un giorno dopo, prendendo di mira lo stesso sistema legacy e risultando nel furto di circa 88.000 dollari in attività residue. Blockaid ha riferito che l'attaccante ha utilizzato lo stesso metodo di regolamento per sfruttare le posizioni residue del bridge.

Va notato che l'exploit non ha compromesso la crittografia sottostante di Aztec. Al contrario, Blockaid ha identificato una falla nei processi di verifica delle prove e nei confini di regolamento che ha permesso all'attaccante di generare saldi senza i corrispondenti depositi a sostegno degli stessi.

Aztec Connect era già stato deprecato, e Aztec Labs non deteneva più le chiavi amministrative per i contratti immutabili interessati. L'attuale Aztec Network e il token AZTEC non sono stati colpiti dall'incidente.

Perché i Fondi Rubati Continuano a Affluire Verso Tornado Cash

Il caso di Aztec illustra una tendenza più ampia nelle criptovalute: il numero di attacchi è in aumento pur diminuendo il valore medio per singolo incidente.

Secondo TRM Labs, si sono verificati 207 attacchi crittografici nel primo semestre del 2026 — il numero più alto mai registrato per tale periodo. Le perdite totali hanno raggiunto i 972 milioni di dollari, meno della metà dei 2,3 miliardi di dollari sottratti nel primo semestre del 2025. Gli exploit di smart contract hanno rappresentato 125 incidenti nel 2026, con una perdita mediana di circa 219.000 dollari.

Tornado Cash rimane un componente centrale dell'infrastruttura di riciclaggio delle criptovalute. TRM ha riferito a giugno che il mixer ha rappresentato il 20% dell'attività mondiale dei mixer nel 2026 ed è rimasto il mixer leader sulle reti basate su Ethereum, nonostante un calo significativo della sua quota di mercato in seguito alle sanzioni statunitensi imposte nel 2022.

La ricerca accademica conferma la rilevanza della piattaforma. Uno studio condotto da ricercatori dell'Università di Birmingham e dell'Università di Sydney ha rilevato che Tornado Cash è stato utilizzato nel 78,33% di tutti gli eventi di hacking sulla blockchain Ethereum durante il periodo esaminato.

Il panorama legale è cambiato nel frattempo. Il Dipartimento del Tesoro degli Stati Uniti ha revocato le sanzioni contro Tornado Cash il 21 marzo 2025, in seguito a una sentenza della Quinta Circoscrizione secondo la quale gli smart contract immutabili non sono considerati proprietà sotto la giurisdizione dell'Office of Foreign Assets Control (OFAC).

Per i partecipanti al DeFi, l'incidente di Aztec sottolinea una questione sistemica: i contratti immutabili e deprecati possono rimanere economicamente significativi — e vulnerabili — molto tempo dopo l'abbandono di un protocollo. Con solo il 55% degli ETH rubati finora instradati attraverso Tornado Cash, i restanti 409 ETH rappresentano un punto di monitoraggio chiave per gli analisti on-chain che seguono il processo di riciclaggio in corso. Il caso evidenzia la sfida persistente nella protezione dei fondi legacy anche mentre l'industria avanza verso nuove architetture.