Gli hacker autori del furto di 6,43 miliardi di dollari da Binance hanno convertito circa 124 milioni di dollari delle altcoin rubate in Bitcoin, secondo un rapporto del 6 novembre della società di analisi blockchain Elliptic. L'attività di riciclaggio si svolge contemporaneamente al ripristino dei servizi di prelievo dell'exchange verso i propri clienti.

Conversione di altcoin, non incasso

Le conversioni hanno prodotto circa 1.650 BTC, separati dai 1,48 miliardi di dollari sottratti direttamente nell'attacco del 29 ottobre. Finora sono stati spostati circa 50 milioni di dollari in XRP, mentre 226 milioni di dollari si trovano ancora in wallet controllati dagli hacker. Quasi tutta la Solana rubata — del valore di circa 87 milioni di dollari — è stata scambiata con altre criptovalute, spostata tra blockchain o instradata tramite transazioni progettate per oscurarne l'origine.

Gli ultimi dati non forniscono un quadro completo dei fondi rubati. Elliptic stima che 2,85 miliardi di dollari, pari al 44,3% del totale, siano stati congelati, mentre altri 3,11 miliardi, pari al 48,4%, si trovano ancora in wallet collegati. Insieme, queste categorie coprono 5,96 miliardi dei 6,43 miliardi di dollari rubati, lasciando circa 470 milioni di dollari, pari al 7,3%, non contabilizzati nei totali riportati. Differenze nelle valutazioni degli asset e nei tempi di rendicontazione potrebbero spiegare le incongruenze.

I 124 milioni di dollari convertiti in Bitcoin non dovrebbero essere considerati una somma aggiuntiva, poiché gli hacker hanno semplicemente scambiato una forma di criptovaluta con un'altra senza incassare. Secondo Elliptic, finora è stata prelevata solo una piccola parte del denaro rubato. Quanto di tale saldo nei wallet collegati finirà congelato, spostato o prelevato è la cifra più suscettibile di cambiamenti nei prossimi aggiornamenti.

Come il riciclaggio continua a muoversi

Gli asset rubati sono stati dispersi in un volume elevato di transazioni. L'analisi di Elliptic ha tracciato oltre 20.000 wallet di criptovalute, 16 blockchain diverse e 65.000 transazioni. L'attività sembra automatizzata, anche se non ci sono prove che agenti AI la controllino.

TRM Labs ha scoperto che gli hacker hanno creato token e pool di liquidità su Tron per nascondere i trasferimenti. Hanno anche spostato fondi tramite token di ricevuta di prestito e bridge blockchain interconnessi, aggirando i wallet dove gli asset potevano essere congelati.

In precedenza, Chainalysis aveva tracciato la conversione di 325 milioni di dollari in stablecoin in 285 milioni di dollari di Ether nel giro di 20 minuti, apparentemente per evitare i congelamenti. Alcune conversioni di XRP sono passate attraverso THORChain. Come riportato da Cryptopolitan, il sito web di THORChain ha bloccato gli indirizzo segnalati dopo una richiesta dell'FBI, ma i nodi indipendenti hanno continuato a elaborare le transazioni.

Riapertura dei prelievi e prova della liquidità

Binance sta ripristinando i prelievi mentre i fondi rubati rimangono in circolazione. In un aggiornamento del 6 novembre anche condiviso su X, l'exchange ha dichiarato di puntare a riaprire i prelievi per HYPE, INJ, APT, PLASMA, NEAR e LTC entro la fine della settimana successiva. Binance ha inoltre dichiarato di aver reintegrato il 98% degli asset token interessati entro il 31 ottobre, e si è impegnata a coprire le perdite dei clienti — anche se sostituire gli asset rubati non equivale a recuperarli. L'obiettivo sui sei token stabilisce il prossimo punto di controllo concreto nella cronologia del recupero dell'exchange.

La riapertura ha messo sotto pressione la liquidità di Binance. Talos ha registrato 6,1 miliardi di dollari di deflussi netti. La profondità del book ordini del Bitcoin entro l'1% è calata del 28% il primo giorno dopo l'attacco ed è scesa a un minimo di circa il 44% sotto i livelli pre-hack intorno al 1° novembre, prima di riprendersi. Il Bitcoin stesso è calato di circa il 5% dopo l'attacco. Talos ha tuttavia riscontrato segni limitati di un contagio di mercato più ampio rispetto al collasso di FTX.

Cosa significa per exchange e compliance

L'FBI ha attribuito il furto al gruppo nordcoreano TraderTraitor il 31 ottobre. L'agenzia ha pubblicato gli indirizzi collegati agli hacker e ha esortato gli operatori THORNode, i servizi DeFi e gli exchange istantanei a bloccare le transazioni correlate.

Nonostante il riciclaggio sofisticato, l'attacco è iniziato con debolezze di sicurezza note. L'indagine di Binance ha descritto un falso colloquio di lavoro, malware installato sul computer di un ingegnere e l'uso improprio di uno strumento AI interno. Gli attaccanti hanno infine ottenuto l'accesso ai sistemi coinvolti nella firma delle transazioni dei wallet.

La violazione evidenzia due sfide per gli exchange: proteggere i dipendenti e i sistemi sensibili dalle intrusioni e impedire ai fondi rubati di muoversi attraverso le reti decentralizzate.