Gli hacker responsabili del furto record ai danni di Binance hanno iniziato a convertire una quota consistente degli XRP rubati in bitcoin, secondo la società di analisi blockchain Elliptic, il cui ultimo aggiornamento arriva fino a venerdì. Circa 42 milioni di XRP — circa 50 milioni di dollari — sono già stati convertiti, per la maggior parte attraverso THORChain, una rete di swap cross-chain decentralizzata che scambia asset nativi tra blockchain senza la presenza di un custode centrale.

Le conversioni hanno portato il bitcoin derivato dagli altri asset rubati nell'attacco quasi raddoppiato da un giorno all'altro a circa 1.650 BTC, per un valore di circa 124 milioni di dollari, ha riportato Elliptic. La maggior parte di questo incremento è arrivata tramite il percorso XRP. Circa 192 milioni di XRP, valutati circa 226 milioni di dollari, restano non convertiti negli indirizzi collegati al furto.

Gli XRP facevano parte del prelievo del 29 ottobre, poi quantificato da Binance in 6,34 miliardi di dollari. Tra le 20:05 e le 20:09 UTC di quel giorno, cinque hot wallet connessi a Internet hanno trasferito 233,46 milioni di XRP a un indirizzo controllato dall'attaccante. L'FBI ha attribuito la campagna al gruppo TraderTraitor della Corea del Nord, un attore che le autorità statunitensi hanno in precedenza collegato a una serie di furti di alto valore ai danni di exchange e bridge. Binance ha successivamente riaperto i prelievi in più fasi, ha dichiarato di aver congelato o intercettato circa 2,85 miliardi di dollari e sta coprendo le perdite dei clienti con fondi propri.

Come è iniziato il movimento degli XRP rubati

Gli XRP rubati all'inizio sono rimasti fermi. Nelle prime ore del 2 novembre, tra le 02:12 e le 04:00 UTC, l'intero ammontare di circa 233 milioni di XRP è stato spostato in sei nuovi indirizzi, dove è rimasto fino al 5 novembre, ha detto Elliptic. Dal pomeriggio del 5 novembre, due di quei sei indirizzi hanno iniziato a inoltrare XRP verso decine di nuovi account che hanno convertito i fondi, per lo più attraverso THORChain in bitcoin. Quella sera anche una piccola quantità di ether è passata attraverso THORChain in bitcoin.

Le principali riserve di bitcoin ed ether del furto — i pool più grandi — non si sono ancora mosse, ha detto Elliptic. Il modello rispecchia quanto osservato dalla società dopo l'hack di Bybit — l'attacco di febbraio 2025 che drenò circa 1,5 miliardi di dollari in ether dall'exchange, attribuito anch'esso dall'FBI a hacker nordcoreani: convertire prima in bitcoin i token congelabili e a liquidità intermedia, per poi tentare l'incasso in un secondo momento tramite broker over-the-counter.

L'impronta dell'operazione di riciclaggio è già enorme. Dal furto, Elliptic ha conteggiato più di 20.000 wallet su 16 blockchain, almeno 36 servizi e almeno 65.000 transazioni — all'incirca un nuovo wallet ogni 30 secondi e una transazione ogni 10 secondi. Circa 3,11 miliardi di dollari restano negli indirizzi collegati all'attacco, per lo più in ether e bitcoin, mentre solo una quantità trascurabile è stata probabilmente incassata finora.

Perché XRP e bitcoin contano in questo caso

Gli emittenti possono congelare molte stablecoin; non possono congelare gli XRP allo stesso modo, e non possono congelare il bitcoin. Dopo che Tether e Circle hanno bloccato grandi tranche di stablecoin il 29 ottobre, l'attaccante ha dato priorità agli asset che restano fuori da quell'interruttore di emergenza. Spostare gli XRP in bitcoin prosegue la stessa logica: una volta che il bitcoin è frammentato su nuovi indirizzi, diventa molto più difficile da recuperare.

Tutti gli SOL rubati — circa 87 milioni di dollari alle valutazioni di Elliptic — sono già stati convertiti, trasferiti su altre chain o mixati, con gran parte destinazione bitcoin. Anche la maggior parte del riciclaggio iniziale su Tron, circa 220 milioni di dollari in TRX, ha seguito il suo corso; Bitcoin Magazine aveva segnalato quel flusso nel rapporto sulla chiusura silenziosa della T3 Financial Crime Unit prima dell'attacco. Solo piccole parti dei principali pool di ether e NEAR si sono mosse.

Una parte del bitcoin convertito è entrata in coinjoin in stile Wasabi, una tecnica di mixing che mette in comune monete di molti spendenti per spezzare i collegamenti tracciabili — circa 33 BTC, pari a 2,5 milioni di dollari, dal 1° novembre — mentre circa 1,1 milioni di dollari in ether e SOL sono confluiti nel pool Privacy Cash prima che quel servizio sospendesse i depositi. Elliptic ha detto che la velocità indica un'automazione convenzionale piuttosto che un agente AI che prende decisioni in tempo reale: tempi fissi, importi prestabiliti, tentativi alla cieca e nuove tattiche introdotte a distanza di ore.

Le autorità di vigilanza bancarie statunitensi hanno già contattato gli istituti di credito dopo la violazione di Binance. Per i mercati del bitcoin, la questione più immediata è quanta parte dei restanti ~192 milioni di XRP — e infine dell'ether parcheggiato — verrà convertita in BTC prima che qualcuno tenti l'incasso.

La prova ora è se gli operatori di THORChain e gli altri bridge continueranno a bloccare gli indirizzi degli attaccanti pubblicati abbastanza rapidamente da rallentare il condotto XRP-bitcoin, o se il resto della montagna seguirà lo stesso percorso notturno dei primi 50 milioni di dollari già convertiti.

Questo articolo è basato su un post apparso per la prima volta su Bitcoin Magazine e scritto da Micah Zimmerman.