L'autore del più grande attacco informatico alla storia delle criptovalute sta liquidando attivamente i Solana rubati. Le piattaforme di monitoraggio on-chain riportano che 486.970 SOL — per un valore di circa 46,4 milioni di dollari — sono stati spostati nell'arco di una singola ora, nell'ambito di un'operazione più ampia per convertire quasi 970.000 SOL in Bitcoin tramite Relay Protocol.

La conversione da 46,4 milioni di dollari da SOL a Bitcoin

La piattaforma di intelligence on-chain Arkham e il servizio di monitoraggio Lookonchain hanno rintracciato il movimento all'interno di un'operazione più ampia che converte 970.522 SOL, per un valore di circa 95,9 milioni di dollari, in Bitcoin. Relay Protocol è stato identificato come il meccanismo di routing cross-chain utilizzato per trasferire gli asset.

Della posizione totale, 486.970 SOL (~46,4 milioni di dollari) sono stati spostati nell'ora riportata, mentre circa 483.600 SOL (~46,14 milioni di dollari) rimanevano nel wallet dell'hacker al momento della redazione, secondo i dati di Arkham.

Fase due di un'operazione di riciclaggio da 6,3 miliardi di dollari

La conversione da SOL a BTC non è un evento isolato. Rappresenta una seconda fase deliberata a seguito del furto di 6,01 miliardi di dollari dagli hot wallet di Binance attraverso nove catene tra le 20:10 e le 23:05 UTC del 29 ottobre 2026 — un attacco che Arkham ha confermato come il più grande della storia delle criptovalute.

Le partecipazioni originarie in stablecoin dell'attaccante sono state in gran parte neutralizzate quando Tether, Circle e Ripple hanno congelato congiuntamente 2,80 miliardi di dollari in asset rubati, eliminando quella parte del bottino come via di uscita utilizzabile. Il congelamento è stato possibile perché le principali stablecoin prevedono un meccanismo di blacklisting controllato dall'emittente a livello di contratto token, offrendo agli emittenti uno strumento diretto una volta identificati gli indirizzi segnalati — uno strumento che non esiste per asset nativi come SOL o BTC.

Con le stablecoin congelate, l'attaccante si è orientato verso le partecipazioni in Solana, ora instradate tramite Relay Protocol in Bitcoin. La più profonda liquidità di Bitcoin — con una capitalizzazione di mercato di circa 1.567 trilioni di dollari — rende i grandi afflussi più difficili da rilevare e congelare rispetto a movimenti equivalenti in stablecoin.

SOL viene attualmente scambiato a 95,28 dollari, il che significa che l'intera posizione di 970.522 SOL rappresenta una pressione di vendita costante su un mercato già sotto stress. L'indice Fear and Greed si attesta a 34, saldamente nel territorio della "Paura", a seguito dell'attacco del 29 ottobre.

L'attacco stesso ha sfruttato l'EIP-7702 su Ethereum — uno standard introdotto nel 2025 che consente ai normali wallet esterni di assumere temporaneamente capacità di smart contract come il batching delle transazioni e l'esecuzione delegata — permettendo all'attaccante di trasformare un hot wallet di Binance in uno sweeper controllato dall'attaccante tramite 50 autorizzazioni pre-firmate, in combinazione con l'accesso ottenuto attraverso il laptop compromesso di un ingegnere DevOps, secondo quanto riportato da The Block. La conseguente cascata di liquidazioni sul mercato più ampio ha evidenziato quanto il rischio legato all'infrastruttura degli exchange sia interconnesso con i protocolli DeFi.

Attribuzione alla Corea del Nord e cosa resta a rischio

FBI, Chainalysis e TRM Labs hanno attribuito con elevata confidenza l'attacco a Binance all'unità di hacking TraderTraitor della Corea del Nord. TraderTraitor è un programma sponsorizzato dallo Stato nordcoreano che le agenzie statunitensi monitorano attraverso avvisi pubblici dal 2022, noto per intrusioni mirate a exchange di criptovalute e piattaforme DeFi. Chainalysis ha pubblicato su X che gli investigatori hanno osservato fondi provenienti dall'attacco commisti ai proventi del precedente exploit su Bitget, uno schema coerente con le metodologie di riciclaggio della DPRK.

"I nostri investigatori hanno osservato fondi rubati dalla DPRK nell'exploit su Bitget del mese scorso commisti a fondi rubati da Binance. Abbiamo un elevato grado di confidenza che la DPRK sia responsabile dell'hack da 6,4 miliardi di dollari a Binance." — Chainalysis (@chainalysis) su X

TRM Labs stima che la Corea del Nord abbia rubato circa 7,4 miliardi di dollari in criptovalute solo nel 2026, portando il totale del regime dal 2017 a circa 12,8 miliardi di dollari. L'attacco a Binance segue uno schema ormai familiare: sfruttare l'infrastruttura di firma degli exchange, prosciugare i fondi su più catene contemporaneamente e convertire gli asset bridge tracciabili in Bitcoin prima di spostarli verso i mixer.

La risposta di Binance e la reazione del mercato

Il co-CEO di Binance Richard Teng ha dichiarato: "I vostri fondi sono al sicuro e copriremo ogni perdita", e l'exchange ha stanziato 6,34 miliardi di dollari di riserve per coprire le perdite. Entro il 1° novembre, Binance ha confermato che il 90% degli asset rubati era stato ripristinato.

La contenuta reazione del prezzo di Bitcoin rispetto ai precedenti hack agli exchange riflette sia la profondità dell'attuale liquidità di BTC sia la fiducia nella posizione di riserva di Binance, con BTC scambiato a 77.922 dollari, in rialzo dello 0,70% nella giornata nonostante l'attiva conversione da parte dell'attaccante.

Perché il movimento è rilevante per il tracciamento on-chain

Ogni evento di conversione di asset è un momento tracciabile on-chain. Quando l'attaccante instrada SOL tramite Relay Protocol in BTC, crea un nuovo cluster di wallet che le società di analisi forense blockchain possono collegare agli indirizzi originali dell'exploit su Binance, estendendo la pista investigativa.

L'assenza di hash di transazione pubblicati per il movimento specifico di 486.970 SOL limita la verifica indipendente in questa fase. Arkham e Lookonchain sono le fonti di monitoraggio citate, ma i dati grezzi degli explorer on-chain non sono stati pubblicati nei report disponibili.

L'FBI ha sollecitato le entità del settore privato a bloccare le transazioni dagli indirizzi degli hacker identificati, e l'ecosistema DeFi più ampio ha reagito inasprendo i parametri di collateralizzazione sugli asset esposti all'attacco. Con circa 2,9 miliardi di dollari in ETH, BTC, TRX, SOL e altcoin confermati da Arkham come ancora spostabili, la fase di conversione attiva probabilmente continuerà, mentre gli investigatori corrono per mappare e segnalare nuovi indirizzi wallet prima che i fondi raggiungano i mixer o i desk over-the-counter. Per chiunque stia tracciando il riciclaggio in tempo reale, i marker più chiari sono il movimento del saldo residuo di 483.600 SOL, ulteriori azioni di congelamento legate a indirizzi di nuova identificazione e nuove attribuzioni di cluster di wallet che collegano i nuovi movimenti all'exploit del 29 ottobre.

Disclaimer: Questo articolo ha finalità puramente informative e non costituisce consulenza finanziaria o di investimento. I mercati delle criptovalute e degli asset digitali comportano rischi significativi. Effettuare sempre le proprie ricerche prima di prendere decisioni.