L'hacker dietro l'hack da circa 6,3 miliardi di dollari ai danni di Binance ha spostato tutti i 233,46 milioni di XRP rubati in sei nuovi wallet lunedì. La ridistribuzione evidenzia una differenza chiave tra gli asset sottratti nella violazione: a differenza delle stablecoin anch'esse rubate, l'XRP nativo non ha un emittente con il potere di congelarlo.

Secondo i registri dell'XRP Ledger, l'address di custodia ha effettuato sei pagamenti di test da 1.000 XRP ciascuno a partire dalle 03:47 UTC. I trasferimenti di test hanno preceduto il primo pagamento importante di circa cinque minuti; piccoli pagamenti preliminari di questo tipo sono comunemente usati per verificare che un address di destinazione possa ricevere fondi. Tra le 03:52 e le 04:00 UTC sono seguiti nove pagamenti di grandi dimensioni. Alla fine, cinque wallet hanno ricevuto circa 40 milioni di XRP ciascuno, tre dei quali in due tranche da 30 milioni e 10 milioni, mentre il sesto ne ha ricevuti 33,46 milioni. L'address originale ha trattenuto 23,7 XRP.

Al prezzo di lunedì di circa 1,26 dollari per XRP, le monete valevano all'incirca 294 milioni di dollari. Whale Alert ha evidenziato un singolo trasferimento di 40 milioni di XRP, del valore di circa 50,4 milioni di dollari, da un address che etichetta come "Binance Hack 2026."

L'attaccante ha inoltre inviato 1.000 XRP a un settimo address separato alle 02:12 UTC. Le monete erano rimaste sostanzialmente intatte nell'address di custodia per circa 80 ore prima dell'inizio dei pagamenti importanti. Cinque wallet di Binance avevano inviato l'intero ammontare di 233,46 milioni di XRP a quell'address in circa quattro minuti il 29 ottobre. I dati del ledger delle 07:27 UTC di martedì hanno mostrato che nessuno dei sei nuovi wallet aveva spostato nulla. Poiché il ledger è pubblico, qualsiasi movimento successivo da quegli address sarà visibile in tempo reale.

Perché l'XRP rubato non può essere congelato

Secondo la documentazione dell'XRP Ledger, l'XRP nativo non può essere congelato sul ledger. Ripple ha congelato l'RLUSD rubato legato alla violazione, ma quei controlli da emittente si estendono solo alla propria stablecoin: i poteri di congelamento sono legati ai token creati da un emittente, e l'asset nativo del ledger non ha un emittente che possa esercitarli. Il compito ora è tracciare i sei wallet e garantire che gli exchange rifiutino i depositi per recuperare l'XRP. La suddivisione appare come una fase di riciclaggio: sei saldi significano più piste da seguire e lotti più piccoli da incassare.

Il tracker on-chain Lookonchain ha dichiarato che circa 250.000 dollari del bottino sono stati spostati verso l'exchange Gate in depositi distribuiti su 12 ore.

Le più ampie ripercussioni della violazione

L'attacco ha portato al furto di circa 628 milioni di dollari in asset su Tron. Tether ha congelato circa 378,7 milioni di USDT — lo stesso potere a livello di emittente usato da Ripple su RLUSD, e che all'XRP nativo manca — ma l'analista SomaXBT stima che circa 242 milioni siano sfuggiti attraverso rotte collegate a Tron in due giorni. Circa 140 milioni di questi sono transitati attraverso servizi come Relay e THORChain, i cui operatori di nodo sono stati invitati dall'FBI a bloccare i fondi. Le stime attribuiscono a Relay un volume di quasi 48 milioni di dollari e a THORChain di 44 milioni.

Cryptopolitan ha riferito che il settore ha congelato circa 3 miliardi di dollari degli asset rubati. L'FBI incolpa TraderTraitor, il nome che dà a un'operazione di hacking legata allo stato nordcoreano, affermando che gli attaccanti stanno convertendo le criptovalute rubate in Ether. Tuttavia, Kim Yo Jong della Corea del Nord ha negato l'accusa dell'FBI, definendola "una retorica assurda e di rieno di nuovo," in una dichiarazione ufficiale rilasciata il 2 novembre.

Binance ha dichiarato che i fondi aziendali hanno risarcito circa il 95% dell'importo interessato, e l'exchange ha aggiunto di avere una copertura completa per i propri saldi in XRP.