Binance ha ripreso i prelievi domenica dopo aver coperto la maggior parte dei 6,3 miliardi di dollari rubati nell'attacco del 29 ottobre, come riportato da Reuters, fissando alle 15:30 UTC i propri deflussi netti a circa 3,6 miliardi di dollari. I conteggi concorrenti dei fornitori di dati on-chain mostrano tuttavia cifre più elevate, e il divario dipende dalle finestre di misurazione, dalla copertura dei wallet e da come vengono etichettati i nuovi indirizzi dell'exchange.

Binance ha contato 9,5 ore, DefiLlama ne ha contate 24

Binance ha dichiarato di aver elaborato circa 4,65 miliardi di dollari in prelievi e 1,01 miliardo di dollari in depositi tra le 06:00 e le 15:30 UTC di domenica, secondo The Block. I depositi hanno compensato circa un quinto di quanto uscito, ed è per questo che la cifra netta si attesta vicino a 3,6 miliardi di dollari anziché al totale lordo. Queste ore sono seguite a un congelamento in vigore dal 29 ottobre.

L'exchange ha rapportato la cifra netta a 171 miliardi di dollari di asset under management desunti dai suoi dati proof-of-reserves del 28 ottobre, indicando il deflusso al 2,1%. Quel denominatore è anteriore all'hack, quindi il rapporto confronta l'uscita di domenica con le disponibilità di Binance prima del furto, non con quelle attuali.

Binance ha inoltre dichiarato che i volumi di prelievo si stavano stabilizzando dopo il picco iniziale, mentre i depositi rimanevano consistenti. Non ha pubblicato dati orari dettagliati, quindi l'andamento di quel calo non può essere verificato dall'esterno dell'exchange.

I rilevamenti concorrenti sono i seguenti:

• Binance, auto-dichiarati: circa 3,6 miliardi di dollari netti, 06:00–15:30 UTC, 1 novembre
• DefiLlama, tramite The Block: circa 4,05 miliardi di dollari netti, 24 ore fino alle 16:37 UTC, 1 novembre
• DefiLlama, tramite Reuters: circa 4,4 miliardi di dollari, finestra non specificata

Queste cifre non misurano la stessa cosa. La finestra di 24 ore di DefiLlama si apre nel pomeriggio di sabato, più di 13 ore prima che Binance elaborasse il primo prelievo, quando i clienti non avevano modo di spostare fondi fuori dall'exchange. Qualsiasi calo di saldo registrato in quelle ore non può essere stato un deflusso di clienti.

Anche la copertura differisce. DefiLlama traccia circa 131 miliardi di dollari in wallet che attribuisce a Binance, ben al di sotto dei 171 miliardi di dollari dichiarati dall'exchange, il che significa che i due contano i flussi su insiemi di indirizzi diversi.

Un nuovo hot wallet sembra denaro in uscita

Dopo che gli attaccanti hanno svuotato i suoi hot wallet, Binance ha iniziato a elaborare i prelievi da wallet di nuova generazione, aggiungendoli al proprio elenco proof-of-reserves, ha riportato The Block. Finché un tracker non etichetta un nuovo indirizzo come appartenente a Binance, i fondi che l'exchange vi sposta vengono registrati come deflussi. La guida metodologica di CryptoQuant segnala lo stesso rischio: gli indirizzi di exchange non identificati possono far apparire un trasferimento interno come un prelievo esterno.

Questa è la base dell'obiezione di Binance al rilevamento più alto di DefiLlama, che secondo l'exchange non teneva pienamente conto dei depositi nel nuovo hot wallet. Nessun tracker ha ancora pubblicato una riconciliazione. Finché i nuovi indirizzi non saranno etichettati e le finestre di misurazione non saranno allineate, quella spiegazione si basa sulla parola di Binance.

Lo stesso problema di etichettatura inficia i dati del giorno dell'attacco. CryptoQuant ha registrato circa 28.000 BTC e circa 2,9 miliardi di USDT ERC-20 in uscita dai wallet etichettati come Binance il 29 ottobre. Quei totali mescolano fondi rubati, trasferimenti di emergenza ed eventuali prelievi dei clienti elaborati prima del congelamento, e la serie USDT copre solo la versione del token su Ethereum. La cifra USDT presenta una seconda complicazione: una parte è stablecoin rubato che gli emittenti potrebbero, in linea di principio, congelare. L'analisi di Coindoo su come l'hacker ha aggirato quei congelamenti mostra come l'attaccante abbia comunque tenuto in movimento quei fondi.

Dove sono finiti i soldi

Solo una piccola quota dei deflussi di domenica è emersa su piattaforme concorrenti. Nelle stesse 24 ore, i dieci maggiori exchange successivi nei dati di DefiLlama hanno registrato circa 368 milioni di dollari di influssi netti complessivi, guidati da OKX con quasi 317 milioni, mentre Bitfinex e Gate hanno registrato deflussi netti. DefiLlama non copre Coinbase né Kraken, ma i dati CoinGlass citati da The Block hanno mostrato i loro saldi bitcoin in aumento di circa 984 BTC e 1.422 BTC rispettivamente, mentre quelli di Binance sono calati di circa 19.289 BTC.

La maggior parte del denaro è quindi andata a indirizzi che queste dashboard non etichettano. Potrebbero essere wallet self-custody, exchange più piccoli o indirizzi di Binance non ancora contrassegnati, e i soli dati on-chain non permettono di distinguerli.

Cosa possono davvero prelevare i clienti

Binance ha ordinato la prima fase delle ripristini in base alla domanda di prelievo della settimana precedente, ed è per questo che le monete principali e le reti stablecoin più attive sono tornate per prime. Nel suo aggiornamento sul ripristino del 1° novembre, l'exchange ha dichiarato che i saldi di BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD e ZEC sono interamente coperti. Il restante 5% circa del valore rubato, non ancora sostituito, riguarda token meno liquidi al di fuori di quel gruppo, che sta ancora acquistando tramite canali di mercato e OTC.

Stato dei prelievi nel pomeriggio di domenica (UTC):

• 12:36 – Tutte le 15 reti della prima fase riaperte
• 16:22 – La pagina di stato mostrava 531 monete su 552 sospese; 14 parzialmente ripristinate, tra cui BTC e ETH
• Ancora in fase di test – Cardano, Chainlink, Hyperliquid, Litecoin, NEAR e altre reti

Per chi detiene una moneta ancora sospesa, i miliardi di domenica non dicono nulla sul proprio saldo. La pagina di stato delle reti di Binance elenca la disponibilità per ogni coppia asset-rete.

La sostituzione del valore rubato con denaro aziendale è inoltre distinta dal recupero delle monete rubate. Binance afferma di lavorare con le forze dell'ordine e con partner del settore per tracciarle e congelarle, ma il suo aggiornamento del 1° novembre non ha indicato quanto sia stato congelato finora.

I dati sulle riserve precedono comunque domenica

Entrambi i riferimenti alle riserve in circolazione si collocano prima dell'onda di prelievi. Il rapporto del 2,1% si basa sui dati del 28 ottobre. Binance ha dichiarato che il suo prossimo rapporto proof-of-reserves, calcolato con zero-knowledge proofs e atteso lunedì, utilizza uno snapshot del 31 ottobre. Quel rapporto può mostrare cosa copriva i saldi dei clienti sabato, non ciò che restava dopo i pagamenti di domenica. Il difensore degli investitori della PCAOB ha anche avvertito che tali rapporti non sono audit e rivelano poco sulla situazione finanziaria più ampia di un'entità.

Tre indicatori mostreranno se domenica è stata uno svuotamento di un arretrato o l'inizio di un'esodo più lungo. Il primo è se le monete sospese tornino online. Il secondo è se le cifre di DefiLlama si avvicinino a quelle di Binance una volta etichettati i nuovi wallet. Il terzo è il primo snapshot delle riserve datato dopo il 1° novembre.

Questo articolo è stato pubblicato originariamente da Coindoo.