Gli autori del furto da 6,3 miliardi di dollari ai danni di Binance hanno iniziato a dividere il bottino lungo una linea di demarcazione chiara: asset che possono essere congelati o potenzialmente recuperati, e asset che stanno oltre la portata dei controlli di congelamento. Questa linea di demarcazione determinerà in gran parte quanti dei fondi rubati potranno effettivamente essere restituiti.

Gli emittenti di stablecoin stanno azionando i leveri di blacklist e congelamento, mentre gli hacker si affrettano a spostare i fondi in ETH, BTC e altri token senza emittenti né interruttori di spegnimento. La corsa a murare i token prima che attraversino la soglia del non recuperabile arriva dopo quello che è stato descritto come il più grande furto nella storia delle criptovalute — che, ironia della sorte, ha colpito il più grande exchange di criptovalute al mondo. La prima relazione di Binance sull'incidente ha attribuito l'exploit al laptop compromesso di un ingegnere DevOps.

Cosa è stato congelato dal hack di Binance?

Gli autori dell'attacco, che le società di intelligence blockchain TRM Labs e Chainalysis hanno identificato con alta confidenza come l'unità TraderTraitor della Corea del Nord, hanno visto congelare quasi 3 miliardi di dollari dei token spostati fuori dall'exchange. L'attribuzione ha un peso pratico: le unità legate alla Corea del Nord di questo tipo sono state in passato citate in azioni di sanzioni statunitensi, che offrono agli investigatori una base legale per perseguire sequestri e confische accanto ai congelamenti on-chain.

Tether e Circle, gli emittenti delle stablecoin con la maggiore capitalizzazione di mercato, hanno inserito in blacklist rispettivamente circa 1,77 miliardi di USDT e 825 milioni di USDC, secondo TRM Labs. La blacklist è un controllo integrato delle stablecoin centralizzate — i token di un indirizzo inserito in lista non possono più essere spostati — un potere che semplicemente non esiste per asset come ETH o BTC. Degli 88,5 milioni di RLUSD rubati, Ripple ne ha congelati 40,5 milioni, mentre World Liberty Financial, legato a Trump, ha bloccato 27,8 milioni del suo token USD1. Anche il Security Council di Arbitrum è intervenuto, contribuendo a fermare 30,5 milioni di dollari.

Tuttavia, gli attaccanti legati alla Corea del Nord detengono ancora quasi 3 miliardi di dollari che nessuna entità può toccare, secondo i monitoraggi di Arkham e Lookonchain: circa 1,09 miliardi di dollari in ETH, 1,41 miliardi in BTC e 682,9 milioni di TRX. L'attaccante ha anche raccolto 158,25 milioni di dollari vendendo altcoin tra cui AAVE, ENA, LINK, PEPE e UNI, e ha da allora convertito l'intero importo in Ethereum, un asset non congelabile.

Chi può intervenire e chi no?

L'aggregatore DEX 1inch e il protocollo Reserve offrono un confronto diretto sul ponte di intervento che gli hacker stanno cercando di attraversare.

1inch ha dichiarato che gli indirizzi legati all'exploit sono già stati bloccati dall'accesso al suo dApp, wallet e API. L'aggregatore DEX ha anche detto di aver contattato Binance per offrire assistenza e di stare coordinandosi con ZeroShadow, SEAL 911 e TRM Labs (dichiarazione su X).

Reserve, al contrario, non ha potuto fare nulla quando gli attaccanti hanno spazzato via circa 3,4 miliardi del suo token RSR. Il team ha scritto su X che "nessuno, incluso noi, può congelare" i token, perché RSR è immutabile e non ha chiavi di amministratore.

Il Security Council di Arbitrum ha adottato un approccio più diretto. Secondo il forum di governance di Arbitrum, il consiglio ha modificato temporaneamente il contratto inbox della rete su Ethereum, ha aggiunto una funzione per riprodurre una transazione cross-chain impersonando l'indirizzo dell'exploit e ha spostato 8.425 ETH e 74.559.805 ARB in un wallet di custodia che termina con 0DA0. Il consiglio ha quindi ripristinato il contratto, e i fondi possono muoversi solo dopo una votazione dell'ArbitrumDAO. Il consiglio ha usato gli stessi poteri di emergenza ad aprile, quando ha congelato circa 30.766 ETH — del valore di circa 71 milioni di dollari all'epoca — legati all'exploit di KelpDAO.

Cosa ha già mostrato l'hack di Bitget

Congelato non equivale a recuperato, e il settore ha una prova fresca di quanto poco il congelamento riesca a intercettare una volta che un attaccante converte. Nella violazione di Bitget di settembre, Cryptopolitan ha riportato che Circle e Tether hanno bloccato appena 318.000 dollari su 387,5 milioni rubati, perché il ladro aveva già convertito il resto in Ether. Dati Bitquery citati da Cryptopolitan mostrano che i wallet congelati entro una settimana conservano il 59% dei loro USDT dopo una settimana, ma solo il 12% dopo sei mesi.

Binance ha sospeso depositi e prelievi, si è impegnata a coprire le perdite degli utenti dalla sua riserva SAFU — il fondo di emergenza dell'exchange, creato nel 2018 e alimentato dalle commissioni di trading — e dai fondi aziendali, e prevede che i prelievi riprendano entro 48 ore. Il co-CEO Richard Teng ha cercato di rassicurare gli utenti, scrivendo su X: "I vostri soldi sono al sicuro e copriremo ogni perdita."

L'exchange non ha detto quanti dei 3 miliardi di dollari congelati possa effettivamente recuperare, né ha dettagliato cosa accadrà ai restanti 3,3 miliardi di dollari. I prossimi punti di osservazione sono tutti fissati dall'incidente stesso: se i prelievi riprendono nei 48 ore dichiarati da Binance, come procede la votazione dell'ArbitrumDAO sugli 8.425 ETH e i 74.559.805 ARB sequestrati, se altri emittenti e protocolli useranno i loro poteri di congelamento sui token ancora in movimento, e quando Binance chiarirà le prospettive di recupero sia della parte congelata sia di quella intoccabile del bottino.

Fonte: Cryptopolitan