L'FBI ha chiesto ai node operator di THORChain e ad altri servizi di finanza decentralizzata (DeFi) di bloccare le transazioni legate ai circa 6,3 miliardi di dollari rubati nell'hack ai danni di Binance — una richiesta che evidenzia quanto diventa difficile far rispettare la legge in una rete progettata per funzionare senza un controllo centrale.

La richiesta è arrivata il 31 ottobre. THORChain è una rete di swap cross-chain che collega 13 blockchain; i suoi nodi operano in modo indipendente e nessuna singola autorità può costringerli a bloccare le transazioni.

Cosa ha chiesto l'FBI — e come ha risposto THORChain

L'agenzia ha attribuito il furto del 29 ottobre a TraderTraitor, la sua denominazione per un'operazione di hacking collegata allo Stato nordcoreano, e ha chiesto ai servizi di bloccare i wallet elencati e tutte le transazioni derivate da essi. Nel suo avviso ufficiale, l'FBI ha dichiarato che gli attaccanti stavano convertendo le criptovalute rubate in Ether.

Finora l'FBI ha identificato 608 indirizzi Ethereum, 19 indirizzi Bitcoin e un indirizzo Solana. In modo significativo, non ha elencato alcun indirizzo su Tron, nonostante questa blockchain sia stata ampiamente utilizzata per spostare i fondi rubati.

Chad Barraford, cofondatore tecnico di THORChain, ha dichiarato a The Block che il sito ufficiale del protocollo ha bloccato gli indirizzi elencati. Ha sottolineato che i node operator possono già vedere le transazioni sulle blockchain pubbliche, ma ha detto di aspettarsi che gli operatori indipendenti continuino a elaborare le transazioni come prima.

Dove finisce la frontend e iniziano i nodi

La distinzione tra il sito web di THORChain e la rete THORChain stessa è rilevante in questo contesto. Il sito esiste per offrire un'interfaccia di swap, ma il protocollo funziona su nodi separati accessibili tramite altre interfacce. Questa suddivisione è comune nel DeFi, dove le frontend sono interfacce opzionali e i protocolli sottostanti sono gestiti da operatori indipendenti. Il blocco di un indirizzo sul sito ufficiale quindi non impedisce l'esecuzione della stessa transazione altrove, e resta chiaro se i node operator abbiano bloccato gli indirizzi segnalati su tutta la rete.

Una sospensione separata che ha colpito gli utenti legittimi

Un problema non correlato ha quindi interrotto l'attività di trading. Il 31 ottobre una riorganizzazione di blocco su Ethereum ha spinto THORChain a rimborsare 10 ETH legati a vault che non avevano ricevuto depositi, e il deficit è stato rilevato dal solvency checker della rete. Questo ha costretto gli operatori a prolungare la pausa, e il 1° novembre il trading su 10 delle 13 chain collegate è stato sospeso. Tutte le parti coinvolte hanno subito perdite. La sospensione era finalizzata a proteggere la rete — non a dare corso alla richiesta dell'FBI.

I numeri sono stime, non fatti accertati

La velocità con cui i fondi rubati si sono spostati ha complicato gli sforzi per valutare con precisione l'importo totale. L'analista SomaXBT ha stimato in un post su X che circa 242 milioni di dollari sono stati trasferiti tramite la blockchain Tron nel giro di due giorni.

La stragrande maggioranza di tale totale — circa 140 milioni di dollari — è transitata attraverso una serie di servizi cross-chain: Relay ha veicolato quasi 48 milioni di dollari, THORChain ne ha spostati 44 milioni, Chainflip ne ha trasferiti 32,1 milioni e Symbiosis 16 milioni. Queste cifre sono stime e non suggeriscono che THORChain fosse a conoscenza delle attività illecite degli hacker.

Perché il controllo wallet per wallet potrebbe non reggere

Il rapido spostamento dei fondi rubati rende difficile il controllo dei wallet uno per uno. La società di analisi blockchain Elliptic ha tracciato circa 12.000 wallet su 11 blockchain e oltre 40.000 transazioni in meno di quattro giorni, riscontrando segni di riciclaggio automatizzato ma nessuna prova che agenti AI lo dirigessero. Con fondi che continuamente migrano verso nuovi wallet, le blocklist fisse possono rapidamente restare indietro — e i 628 indirizzi identificati finora dall'FBI coprono solo una frazione di tale attività.

Per THORChain, la questione è quanto rapidamente possa intervenire. In un dibattito precedente, la ricercatrice Taylor Monahan ha sostenuto che la rete potrebbe sospendere le rotte sospette. Barraford ha ribattuto che raggiungere il consenso di due terzi dei nodi — l'accordo di una supermaggioranza degli operatori — potrebbe richiedere giorni o settimane, e che agire più rapidamente richiederebbe un controllo più centralizzato.

Ci che è in gioco per liquidità, conformità e fiducia

Binance, intanto, lavora per ricostruire la fiducia dei clienti. L'exchange ha completato una proof of reserves — un'istantanea che mostra se i saldi specificati dei clienti sono coperti da attività — e ha promesso di coprire le perdite.

Ciononostante, Reuters ha riferito di prelievi netti per 4,72 miliardi di dollari, circa il 3% delle attività della piattaforma, nonostante afflussi per 2,7 miliardi di dollari. Cryptopolitan ha esaminato in precedenza l'esposizione di THORChain ai fondi rubati.

Da qui in avanti, i indicatori da monitorare sono concreti: se i node operator di THORChain agiranno sulla lista dell'FBI su tutta la rete, se gli indirizzi Tron saranno aggiunti a essa, e quando il trading riprenderà sulle 10 chain sospese. L'ultimo caso riporta al centro dell'attenzione una sfida familiare: come può il DeFi mantenere aperta la liquidità senza compromettere la conformità e la fiducia degli utenti?