La società di sicurezza blockchain BlockSec ha tracciato il movimento dei fondi rubati nell'hack a Bitget, riportando che circa 387,5 milioni di dollari sono stati instradati attraverso Bitcoin, il protocollo cross-chain THORChain e un servizio identificato come CoinJoi. Il tracciamento delinea uno schema di offuscamento ormai comune nei grandi furti agli exchange: convertire gli asset on-chain, scambiarli tra catene diverse e poi frammentare la traccia.

Cosa ha rivelato il tracciamento di BlockSec

Secondo l'analisi riportata da BlockSec, i fondi rubati a Bitget non sono rimasti fermi. L'attaccante ha spostato gli asset in Bitcoin, ha usato THORChain come livello di instradamento cross-chain e ha fatto transitare i fondi attraverso CoinJoi. Ogni passaggio svolge uno scopo distinto nel spezzare il collegamento on-chain tra il furto originale e un eventuale tentativo di incasso.
THORChain consente scambi cross-chain nativi senza token wrapped o bridge centralizzati, risultando uno strumento tecnicamente efficace per spostare valore tra catene. Dopo l'hack, la governance di THORChain ha respinto una proposta di blacklist degli indirizzi dell'hacker di Bitget, una decisione che ha attirato commenti dal co-fondatore di Ethereum Vitalik Buterin e ha intensificato il dibattito sulla responsabilità dei protocolli decentralizzati di filtrare i fondi rubati. Quel dibattito si inserisce in un arco normativo più ampio: nel 2022, l'Office of Foreign Assets Control del Dipartimento del Tesoro statunitense ha sanzionato il mixer Bitcoin Blender.io e il protocollo di mixing basato su Ethereum Tornado Cash per il loro uso nel riciclaggio dei proventi di hack, azioni che hanno alimentato un duraturo dibattito legale su fino a dove possano estendersi le sanzioni nei confronti di protocolli open-source e permissionless.

Separatamente, la società di analisi blockchain AMLBot ha individuato una porzione più piccola del movimento: 4 BTC dall'hack a Bitget sono stati tracciati verso Wasabi CoinJoin, uno strumento di privacy per Bitcoin che mescola le transazioni per oscurare i collegamenti tra input e output. Il riferimento a CoinJoi nel tracciamento di BlockSec potrebbe riferirsi alla stessa attività di mixing, sebbene la nota di ricerca non confermi se CoinJoi e Wasabi CoinJoin indichino lo stesso servizio o passaggi separati nella catena.

I limiti di ciò che il tracciamento stabilisce

Il tracciamento conferma i movimenti di asset osservati; non stabilisce laazione finale. L'analisi riportata da BlockSec mostra dove sono transitati i fondi, non se siano stati recuperati, congelati dagli exchange o convertiti in valuta fiat. Si tratta di questioni distinte che dipendono dalla cooperazione con gli investigatori di eventuali servizi centralizzati presenti nel percorso. È anche ciò che rende il tracciamento operativo: il suo valore pratico sta nell'identificare i punti di strozzatura in cui i fondi possono ancora essere intercettati, mentre i segmenti permissionless del percorso restano in gran parte al di fuori del controllo di qualsiasi singola parte.

Non tutti i fondi rubati hanno raggiunto protocolli anonimi senza ostacoli. NEAR Intents ha segnalato il blocco di circa 50 milioni di dollari di flussi legati all'hack a Bitget, il che rappresenta la maggiore singola interdizione nella traccia dei fondi riportata. Ciò ha lasciato la maggior parte restante dei 387,5 milioni di dollari a muoversi attraverso canali in cui l'intervento non era disponibile o è stato rifiutato.

Bitget stessa ha iniziato a ripristinare l'accesso degli utenti ai fondi nell'indomani dell'attacco. I prelievi in Bitcoin sono ripresi dopo che l'hacker ha scambiato ETH tramite THORChain, con i prelievi in Ether previsti a seguire. La sequenza suggerisce che Bitget abbia dato priorità al ripristino della liquidità in BTC una volta che l'attaccante avesse già spostato fuori dalla piattaforma la porzione del furto denominata in ETH.

Cosa indica il percorso per la forense on-chain

Il percorso Bitcoin–THORChain–CoinJoi rispecchia uno schema visto in altri grandi furti agli exchange: usare un protocollo cross-chain permissionless per spezzare la traccia degli asset al confine tra catene, poi applicare una fase di coin mixing per frammentare gli UTXO di Bitcoin. Per le squadre di analisi forense on-chain, questa combinazione richiede un'analisi su almeno due catene e un clustering probabilistico degli UTXO, anziché un semplice inseguimento degli indirizzi.

La cifra di 387,5 milioni di dollari, se accurata, collocherebbe l'incidente tra i furti singoli a un exchange più importanti degli ultimi anni. Il tracciamento di BlockSec è la prima ricostruzione pubblica di dove si siano mossi i fondi, ma il quadro completo di quanto sia stato effettivamente recuperato, congelato o riciclato dipenderà dai report di exchange e società di analisi nelle settimane e nei mesi a venire. Tra le questioni aperte: se ulteriori servizi lungo il percorso agiscano per congelare i fondi, e se la decisione di governance di non applicare la blacklist attiri una rinnovata attenzione normativa sulle infrastrutture cross-chain permissionless.

Disclaimer: Questo articolo ha finalità esclusivamente informative e non costituisce consulenza finanziaria o di investimento. I mercati delle criptovalute e degli asset digitali comportano rischi significativi. Effettua sempre le tue ricerche prima di prendere decisioni.