L'FBI conferma che la Corea del Nord è dietro l'hack da 6 miliardi di dollari a Binance e chiede di bloccare i fondi
Punti chiave
- •L'FBI ha confermato il 31 ottobre che la Corea del Nord, attraverso l'attività che monitora come TraderTraitor, è dietro il furto di oltre 6 miliardi di dollari da Binance.
- •FBI, Secret Service e IRS Criminal Investigation hanno chiesto agli operatori di THORNode, ai fornitori RPC, agli exchange istantanei, ai servizi DeFi, alle aziende di analisi e ad altri fornitori di asset virtuali di bloccare le transazioni collegate agli indirizzi pubblicati che detengono asset rubati.
- •I fondi rubati vengono convertiti principalmente in ETH che — a differenza delle stablecoin che possono essere congelate dagli emittenti — non ha alcuna controparte centrale in grado di bloccarne il movimento, quindi l'intervento dipende dai servizi attraverso cui passano i fondi.
- •THORChain può sospendere il trading o intere blockchain per sicurezza ma non può rimuovere un singolo swap, il che significa che qualsiasi sospensione ferma le transazioni di tutti gli utenti, non solo dell'attaccante.
- •Una riorganizzazione accidentale di un blocco di Ethereum il 31 ottobre ha causato l'emissione da parte di THORChain di un rimborso duplicato e ha innescato una pausa di emergenza che ha inavvertitamente ritardato il riciclaggio, anche se i fondi ritardati non sono fondi recuperati.
Il Federal Bureau of Investigation ha confermato che la Corea del Nord è dietro il furto di oltre 6 miliardi di dollari da Binance. Nel suo annuncio del 31 ottobre, l'agenzia ha attribuito l'attacco all'attività che monitora come TraderTraitor, chiudendo la questione della responsabilità nordcoreana che gravava sul caso.
Perché la richiesta va all'infrastruttura
FBI, Secret Service e IRS Criminal Investigation hanno chiesto agli operatori di THORNode, agli operatori RPC, agli exchange istantanei, ai servizi DeFi, alle aziende di analisi e ad altri fornitori di asset virtuali di bloccare le transazioni collegate agli indirizzi che hanno pubblicato. Secondo le agenzie, gli asset rubati vengono convertiti principalmente in ETH, e si prevede un ulteriore riciclaggio attraverso servizi DeFi e di swap istantaneo.
Questa conversione spiega perché la richiesta arriva a così tanti tipi di servizio. Gli emittenti di stablecoin possono congelare i propri token, e parte del bottino è stata congelata in questo modo entro poche ore. L'ETH non ha un emittente da contattare. Una volta che l'attaccante ha spostato il valore in ETH, fermarlo dipende dai servizi attraverso cui i fondi passeranno in seguito.
L'elenco degli indirizzi è il punto di partenza. L'FBI descrive i wallet elencati come detentori o ex detentori di asset rubati, e come gestiti da attori TraderTraitor o strettamente collegati ad essi. Alcuni potrebbero essere già vuoti. Ciascun fornitore dovrà ancora capire cosa, se qualcosa, può fare entro il proprio ruolo.
Le cinque cose che "bloccare" può significare
L'intervento va dalla forma di azione più debole alla più forte, e solo l'ultimo grado restituisce il denaro:
- Tracciamento. Le aziende di analisi mappano dove si muovono i fondi e avvisano gli altri — informazioni, non controllo.
- Rifiuto di una connessione. Un fornitore RPC o un'interfaccia di app respinge le richieste provenienti da indirizzi segnalati sul proprio servizio.
- Sospensione di un protocollo. Una rete come THORChain può sospendere il trading o un'intera blockchain, fermando le transazioni di tutti, non solo dell'attaccante.
- Congelamento in custodia. Un exchange o un custode che detiene gli asset ne nega l'accesso.
- Restituzione dei fondi. Gli asset identificati vengono effettivamente trasferiti indietro.
Ogni grado richiede prove diverse. Un rifiuto di connessione mostra che un servizio ha detto no. Una sospensione mostra un'attività in pausa, per un periodo. Un congelamento in custodia mostra asset trattenuti, in attesa di un procedimento legale. Solo una restituzione mostra un recupero. I fornitori menzionati nella richiesta si collocano su gradi diversi: le aziende di analisi tracciano, gli operatori RPC e le interfacce delle app rifiutano, gli operatori di protocollo possono sospendere, e i custodi congelano.
Rifiuto di una connessione
Le applicazioni raggiungono Ethereum attraverso nodi, spesso gestiti da fornitori RPC, per leggere dati o inviare transazioni, come spiega la documentazione JSON-RPC di Ethereum. Un fornitore può rifiutare le richieste che passano per il suo servizio, ma le regole della rete non cambiano. Broadcast, inclusione nei blocchi e finalità sono fasi separate, e una transazione respinta da un fornitore può comunque essere inviata tramite un altro. Lo stesso vale per un sito web che limita la propria interfaccia mentre il protocollo sottostante continua a funzionare.
Sospendere un protocollo: la posizione di THORChain
L'FBI ha citato direttamente gli operatori di THORNode — gli operatori che gestiscono la rete THORChain — il che mette sotto esame il design di THORChain. In un post del 1° ottobre, pubblicato prima del furto a Binance, il progetto ha dichiarato che il suo protocollo può sospendere una blockchain o l'intera rete per sicurezza ma non ha alcun controllo per rimuovere un singolo swap. Il suo report trimestrale del 23 ottobre ha ribadito quella posizione.
La documentazione per sviluppatori del progetto descrive diversi tipi di sospensione, dall'arresto del trading all'arresto della firma in uscita fino alla sospensione di una blockchain. Ognuna di esse coinvolgerebbe tutti gli utenti di quella rotta, non solo l'attaccante.
Un incidente ha già mostrato l'aspetto di un'interruzione non pianificata. Il 31 ottobre, Chainalysis ha dichiarato che una riorganizzazione di un blocco di Ethereum ha causato l'emissione da parte di THORChain di un rimborso duplicato a chi aveva depositato 10 ETH, ritardando inavvertitamente il riciclaggio dei fondi rubati a Binance. Si è trattato di un guasto operativo, non di una restrizione deliberata — e i fondi ritardati non sono fondi recuperati.
THORChain just inadvertently delayed the laundering of a significant amount of funds stolen from Binance. The reason? An Ethereum reorg. One happened this morning and caused THORChain to incorrectly issue a double refund to someone who had deposited 10 ETH. This triggered an “emergency pause” on THORChain, preventing all users, including DPRK’s money launderers, from using cross-chain swaps. Until the service comes back online, neither the hackers nor anyone else can swap through a majority of THORChain’s bridges.
— Chainalysis (@chainalysis) October 31, 2026 — posted on X
Congelamento in custodia
Il punto di controllo più forte è un'azienda che detiene effettivamente gli asset. L'ETH non ha una blacklist di emittente, ma un exchange o un custode che detiene ETH rubato per un cliente può bloccare quel conto. Dove si applicano le sanzioni, le linee guida dell'OFAC richiedono che una persona statunitense che detiene valuta virtuale bloccata ne neghi l'accesso e rispetti le regole di custodia e di rendicontazione. L'allerta dell'FBI è una richiesta, non una designazione di sanzioni né un ordine del tribunale, quindi ciascun detentore ha comunque bisogno di una propria base legale per agire.
Cosa conterebbe come progresso
Gli aggiornamenti da prendere sul serio indicheranno il fornitore, l'azione intrapresa, gli asset coinvolti e quando è accaduto. Una restrizione confermata mostra il restringersi della via dell'attaccante. Un congelamento in custodia mostra asset trattenuti. Solo un trasferimento documentato indietro mostra il denaro che torna — e quella è la cifra che alla fine misurerà quanto dei 6 miliardi di dollari la risposta ha effettivamente salvato.
Questo articolo è fornito solo a scopo informativo e non costituisce consulenza finanziaria o di investimento.
