La società di sicurezza blockchain BlockSec ha tracciato i fondi di un furto dichiarato di 387,5 milioni di dollari legato a Bitget attraverso Bitcoin, il protocollo cross-chain THORChain e i servizi di mixing CoinJoin, mappando un percorso di offuscamento che attraversa più reti e strumenti per la privacy.

Punti chiave

• BlockSec ha identificato che i fondi rubati, per un totale di circa 387,5 milioni di dollari, sono stati instradati attraverso Bitcoin, THORChain e CoinJoin dopo il presunto exploit a danno di Bitget.
• THORChain ha rifiutato di bloccare gli indirizzi wallet collegati ai movimenti, invocando il suo design permissionless.
• Un'analisi separata di AMLBot ha confermato la traccia del CoinJoin, tracciando 4 BTC dall'hack fino a Wasabi CoinJoin.

Cosa ha rilevato il tracciamento dei fondi di BlockSec

Il furto dichiarato, del valore di circa 387,5 milioni di dollari, figura tra i maggiori exploit legati agli exchange tracciati quest'anno. L'analisi on-chain di BlockSec ha rilevato che gli asset rubati sono stati convertiti e instradati attraverso Bitcoin prima di passare attraverso ulteriori livelli progettati per complicare gli sforzi di recupero.

THORChain, un protocollo di liquidità cross-chain decentralizzato, è comparso nel percorso tracciato come ponte tra tipologie di asset. Il protocollo successivamente ha rifiutato di bloccare gli indirizzi wallet associati ai movimenti in Bitcoin da 387,5 milioni di dollari, invocando il suo design permissionless, una decisione che ha lasciato il canale cross-chain aperto a ulteriori movimenti. Il rifiuto contrasta con gli exchange centralizzati, dove i depositi segnalati possono essere congelati dalla piattaforma ricevente non appena ricercatori di sicurezza o forze dell'ordine danno l'allarme; i protocolli permissionless eseguono gli swap tramite pool di liquidità automatizzati, senza che alcun operatore possa interrompere una transazione in corso.

Il CoinJoin, la tecnica di privacy di Bitcoin che unisce più transazioni per oscurarne l'origine, è stato identificato come l'ultimo strato di offuscamento nel percorso tracciato. In un'analisi separata, AMLBot ha tracciato 4 BTC dall'hack di Bitget fino a Wasabi CoinJoin, un wallet Bitcoin non custodiale che implementa nativamente il mixing CoinJoin, confermando il quadro generale identificato da BlockSec. Poiché il CoinJoin unisce le monete di un utente a quelle di altri partecipanti, l'attribuzione diventa notevolmente più difficile una volta che i fondi superano un round di mixing, spostando il massimo peso del tracciamento sui tratti precedenti al mixing già mappati da BlockSec e AML.

Perché Bitcoin, THORChain e CoinJoin contano

Il percorso in tre fasi riflette uno schema noto per il riciclaggio di criptovalute rubate: convertire in Bitcoin per la profondità di liquidità,are un bridge cross-chain per interrompere la traccia degli asset, quindi applicare un servizio di mixing per frammentare la cronologia delle transazioni on-chain. Ogni livello aggiunge complessità forense senza richiedere la collaborazione di alcun singolo custode.

Il rifiuto di THORChain di intervenire evidenzia una tensione strutturale nella finanza decentralizzata: l'infrastruttura permissionless non può distinguere tra swap cross-chain legittimi e riciclaggio post-exploit senza controlli centralizzati che andrebbero in conflitto con i suoi principi di design. Gli investigatori possono osservare i movimenti on-chain, ma non possono invertirli o congelarli.

Le società di tracciamento come BlockSec e AMLBot possono seguire i fondi attraverso questi livelli raggruppando gli indirizzi wallet e mappando gli eventi di swap, ma la conferma dell'attribuzione dei wallet a individui specifici richiede informazioni off-chain che i soli dati blockchain non possono fornire. Anche il luogo in cui i fondi riciclati riemergono influisce sulle possibilità di recupero: i depositi che raggiungono piattaforme centralizzate possono essere segnalati e congelati, mentre gli asset dispersi tramite mixer si sono storicamente dimostrati molto più difficili da recuperare.

La risposta di Bitget e lo stato dei prelievi

Nonostante l'entità del presunto exploit, Bitget si è mossa per ripristinare l'accesso degli utenti. L'exchange ha riaperto i prelievi in BTC dopo l'exploit da 388 milioni di dollari e ha successivamente pubblicato una cronologia graduale per il ripristino di ulteriori accessi, con i prelievi in BTC riaperti e quelli in ETH previsti per il 29 settembre. La sospensione dei prelievi è una misura di contenimento ordinaria per gli exchange dopo incidenti di sicurezza, con ripristini graduali che consentono alle piattaforme di riaprire i flussi in uscita progressivamente.

I movimenti di fondi tracciati da BlockSec erano già in corso prima che Bitget completasse il ripristino dei prelievi, il che significa che il percorso di offuscamento è stato allestito rapidamente nelle ore e nei giorni successivi alla violazione iniziale, uno schema coerente con altri exploit su larga scala agli exchange in cui gli attaccanti privilegiano la rapidità dell'offuscamento rispetto all'efficienza delle transazioni.

Disclaimer: Questo articolo ha finalità puramente informative e non costituisce consulenza finanziaria o di investimento. I mercati delle criptovalute e degli asset digitali comportano rischi significativi. Effettuare sempre le proprie ricerche prima di prendere decisioni.