Gli attaccanti responsabili dell'hack di Binance hanno convertito 175 milioni di dollari in altcoin rubate in approximately 2.300 BTC, secondo la società di analisi blockchain Elliptic. I bitcoin aggiuntivi provengono dallo scambio di asset già sottratti durante la violazione dell'exchange del 29 ottobre, il che significa che le conversioni hanno cambiato la forma dei fondi precedentemente rubati anziché rappresentare un nuovo furto. In altre parole, le operazioni modificano dove si trovano i fondi e quanto siano difficili da tracciare — non quanto sia stato sottratto.

Il report di Elliptic, aggiornato il 7 novembre, descrive trasferimenti estesi attraverso migliaia di wallet, molteplici blockchain e decine di servizi. Il dettagliato resoconto giornaliero della società ha inoltre tracciato bitcoin entrati in transazioni coinjoin — strumenti privacy che combinano monete di più utenti e complicano gli sforzi di tracciamento.

Il report sull'hack di Binance traccia 175 milioni di dollari in conversioni in Bitcoin

Il co-fondatore e chief scientist di Elliptic, Tom Robinson, ha definito l'operazione di riciclaggio fortemente automatizzata. La sua analisi ha conteggiato più di 20.000 wallet su 16 blockchain, coinvolgendo almeno 36 servizi e 65.000 transazioni — un ritmo pari in media a circa un nuovo wallet ogni 30 secondi e una transazione ogni 10 secondi. Queste cifre descrivono un'attività aggregata, non una prova che l'intelligenza artificiale abbia diretto i trasferimenti.

Altcoin rubate, tra cui SOL, XRP e TRX, hanno contribuito alle conversioni in bitcoin. Circa 90 milioni di dollari in SOL sono passati attraverso swap, bridge e servizi privacy — scambi token-per-token, trasferimenti tra blockchain e strumenti creati per offuscare le tracce delle transazioni — con gran parte del valore infine convertito in bitcoin. Anche THORChain è stato coinvolto, facilitando le conversioni tra reti. Ethereum ha rappresentato una parte minore degli asset convertiti, mentre le principali holdings in bitcoin ed ether degli attaccanti sono rimaste inattive.

Il resoconto del 7 novembre ha indicato che circa 88 BTC, per un valore di 6,7 milioni di dollari, erano entrati in coinjoin in stile Wasabi. Queste transazioni combinano input di più partecipanti, rendendo più difficile identificare collegamenti diretti tra i bitcoin in entrata e in uscita. Robinson ha inoltre identificato circa 412.000 NEAR, per 1,5 milioni di dollari, in uscita dall'account principale in piccoli lotti. I 2.300 BTC appena convertiti sono stati collocati in indirizzi bitcoin separati, distinti dalle holdings esistenti degli attaccanti.

I totali dei wallet differiscono mentre gli investigatori tracciano i fondi rubati

Un conteggio separato della piattaforma di analisi Arkham mostra un aumento molto più contenuto rispetto alla stima di conversione di Elliptic. L'entità etichettata di Arkham avrebbe detenuto, secondo quanto riferito, 18.384,725 BTC alle 10 del mattino ora della East Coast il 7 novembre, rispetto ai 18.270,2 BTC sottratti durante l'hack di Binance — una differenza di circa 114,525 BTC, ben al di sotto della cifra di 2.300 BTC. Una pagina di entità di Arkham esaminata per questo articolo mostrava approximately 18.387 BTC nei wallet etichettati, secondo news.bitcoin.com.

Queste letture, da sole, non riconciliano le due piattaforme. Un confronto richiederebbe l'abbinamento di indirizzi, timestamp e ipotesi su quali wallet appartengano agli attaccanti. La cifra di Elliptic copre le altcoin rubate convertite, mentre il saldo di Arkham copre gli indirizzi raggruppati sotto la sua etichetta di entità. Differenze di copertura o di tempistiche potrebbero spiegare il divario, anche se i report disponibili non ne stabiliscono la causa. Divergenze di questo tipo sono una caratteristica ricorrente delle indagini on-chain, poiché ciascuna piattaforma di analisi applica le proprie etichette di entità e regole di copertura agli stessi indirizzi sottostanti.

I record on-chain citati nel report mostrano depositi in bitcoin dalle vault di THORChain e swap di TRX tramite Sun.io, un protocollo di swap sulla rete TRON, a indicare un'attività di riciclaggio in corso collegata all'hack, accanto alle holdings principali in bitcoin ed ether rimaste inattive.

Il riciclaggio di bitcoin resta distinto dalla conversione dei proventi in fondi spendibili. Elliptic ha valutato che solo una quantità trascurabile degli asset rubati abbia probabilmente raggiunto la fase di incasso, nonostante gli ampi trasferimenti tra gli asset. Poiché il resoconto di Elliptic è compilato giorno per giorno, le cifre del 7 novembre sono un'istantanea di un'operazione ancora in corso; gli aggiornamenti successivi del report, insieme ai tracker di saldo pubblici come la pagina di entità di Arkham, rappresentano il registro in continuo aggiornamento da seguire mentre il tracciamento prosegue.

Come si è sviluppata la violazione e la risposta di Binance

Gli attaccanti hanno sottratto 18.270,2 BTC dall'exchange nell'incidente del 29 ottobre. Gli investigatori hanno determinato che erano riusciti ad accedere in modo non autorizzato a un servizio interno di firma dei wallet, e Binance ha descritto dispositivi di dipendenti compromessi e software dannosi precedenti ai trasferimenti non autorizzati.

All'indomani, l'exchange ha dichiarato di aver chiuso i punti di accesso identificati e di aver ricostruito o sostituito i sistemi interessati. La sua risposta ha incluso controlli più severi sui dispositivi e verifiche più rigorose sui servizi wallet dopo l'incidente.

Binance ha stimato gli asset coinvolti in approximately 6,34 miliardi di dollari nel suo report sull'incidente del 3 novembre, dichiarando di aver accantonato fondi più che sufficienti per assorbire l'impatto finanziario. La società ha inoltre citato informazioni dell'FBI che attribuiscono l'incidente alla Corea del Nord. Ha indicato che il 98% dei token interessati era stato ricostituito entro il 31 ottobre, mentre proseguivano gli acquisti dei restanti asset illiquidi. Binance ha riportato approximately 2,85 miliardi di dollari in asset congelati o intercettati, soggetti a riconciliazione e variazioni dei prezzi di mercato.

Fonte: Blockonomi