Un hack di criptovalute da 1,5 miliardi di dollari è diventato un caso di studio emblematico del motivo per cui le risorse digitali rubate sono così difficili da recuperare, anche quando ogni transazione è visibile su una blockchain pubblica. Il furto — uno dei più grandi mai registrati — ha esposto il divario persistente tra tracciare i fondi e recuperarli effettivamente una volta usciti da un wallet.

L'incidente è stato comunicato dall'exchange Bybit, che ha pubblicato un resoconto continuo della violazione sulla sua cronologia degli incidenti di sicurezza. L'amministratore delegato di Bybit, Ben Zhou, ha affrontato direttamente la situazione tramite il suo account su X, dove ha descritto la risposta dell'exchange man mano che gli eventi si svolgevano. La violazione ha preso di mira il cold wallet di Ethereum di Bybit ed è stata successivamente attribuita al Lazarus Group della Corea del Nord da società di analisi blockchain tra cui Chainalysis e TRM Labs, con l'FBI che in seguito ha emesso una propria conferma — a sottolineare come gli attori sponsorizzati dagli Stati siano diventati una forza dominante dietro i principali furti di criptovalute.

Perché recuperare le criptovalute rubate è così difficile

Il problema fondamentale è che le transazioni blockchain sono generalmente irreversibili una volta confermate. Nessun operatore centrale può annullare un trasferimento, quindi un movimento on-chain convalidato rimane valido indipendentemente da come sono stati ottenuti i fondi.

La trasparenza non risolve questo problema. Gli analisti possono osservare le risorse rubate spostarsi tra wallet e reti in tempo reale, ma la visibilità non equivale al controllo. La tracciabilità dice agli investigatori dove sono finiti i soldi; la recuperabilità richiede qualcuno con l'autorità di congelarli o restituirli.

È questa distinzione a rendere la velocità così determinante nei primi minuti dopo una violazione. I fondi possono essere divisi e spostati quasi immediatamente, e più a lungo rimangono in movimento, minori sono le probabilità di un recupero completo. La portata delle perdite in questo caso riflette un trend più ampio: gli hack hanno sottratto circa 1,5 miliardi di dollari nel 2024 prima che le perdite del 2025 aumentassero ulteriormente. I soli gruppi legati alla Corea del Nord sono stati collegati a miliardi di dollari in criptovalute rubate in molteplici incidenti negli ultimi anni, con tassi di recupero che rimangono bassi anche quando l'attribuzione è chiara.

Come gli attaccanti occultano i fondi rubati

Una volta rubate le risorse, gli attaccanti in genere cercano di interrompere la traccia. I metodi includono lo scambio di token, il passaggio tra wallet e l'instradamento del valore attraverso bridge e servizi per frammentare il percorso in molti passaggi più piccoli. In questo caso, gli investigatori hanno osservato gli attaccanti disperdere rapidamente i fondi attraverso più catene e servizi decentralizzati — un modus operandi coerente con le operazioni precedenti del Lazarus Group.

Il movimento cross-chain aumenta l'attrito per chiunque cerchi di rispondere. Ogni scambio o bridge può introdurre ritardi per gli investigatori e per le piattaforme che tentano di segnalare o congelare le risorse prima che si disperdano.

Gli exchange e i fornitori di servizi possono talvolta congelare i fondi, ma solo quando le risorse vengono identificate e segnalate in tempo. Poiché quella finestra è stretta e l'instradamento è deliberatamente contorto, il recupero parziale è molto più comune di un recupero completo. Simili sfide di tracciamento sono emerse dopo l'hack da 285 milioni di dollari a Drift su Solana.

Implicazioni per exchange, utenti e regolatori

Furti di questa entità intensificano la pressione su exchange, custodi e protocolli per rafforzare il monitoraggio e la risposta agli incidenti. Quando una singola violazione può spostare nove cifre in pochi minuti, il costo di un rilevamento lento è enorme. L'incidente Bybit — in cui gli attaccanti avrebbero manipolato l'interfaccia di firma per camuffare una transazione dannosa — ha anche suscitato un maggiore scrutinio sui flussi di lavoro dei wallet multi-firma e sulle assunzioni di affidabilità incorporate nei processi di approvazione a livello hardware.

Per gli utenti, l'episodio sottolinea che le tempistiche di recupero possono prolungarsi anche quando i fondi rimangono tracciabili. L'azione legale intrapesa da Bybit in relazione alla violazione dimostra fino a dove un exchange preso di mira può spingersi per recuperare le risorse rubate a posteriori.

Gli sforzi di recupero raramente ricadono su una sola parte. Coinvolgono tipicamente exchange, società di analisi on-chain e forze dell'ordine che lavorano in parallelo — spesso in giurisdizioni con un'applicazione della legge disomogenea. Questa complessità fa parte del motivo per cui i mega-hack rimangono un problema sistemico per il settore. Tale rischio sta anche guidando l'interesse verso strumenti preventivi come il software di sicurezza a livello di wallet, mentre le perdite dovute a truffe e furti continuano ad aumentare. Con ogni mega-furto successivo, la capacità — o l'incapacità — del settore di congelare, recuperare e prevenire si profila come una questione aperta che plasmerà sia l'azione normativa sia la fiducia degli utenti in futuro.