Un hacker sospettato di aver preso di mira gli acquirenti di wallet Ledger attraverso il rivenditore CryptoBilis ha spostato 430,2 ETH, per un valore di circa 1,07 milioni di dollari, su Tornado Cash tramite quattro wallet separati, secondo il rapporto di Onchain Lens datato 9 ottobre 2026. Ulteriori 270.280 dollari sono stati inviati a Binance. Gli investigatori possono osservare le transazioni, ma seguire il flusso dei fondi è una cosa diversa dal fermarli.

Quattro wallet nel mixer, un hot wallet sull'exchange

Tornado Cash è un protocollo mixer che raggruppa i depositi di molti utenti in pool di smart contract condivisi e paga i prelievi verso nuovi indirizzi, interrompendo il collegamento diretto tra origine e destinazione. Sebbene Tornado Cash renda notevolmente più difficile abbinare i depositi ai prelievi, non ha eliminato la possibilità di tracciare i fondi attraverso altre vie.

Un ulteriore rapporto del 9 ottobre di Onchain Lens ha rivelato che 256.567 dollari in USDT e quasi 13.710 dollari in TRX erano stati inviati a Binance, con un trasferimento di 22.390 USDT già contato come parte del totale complessivo in USDT. I fondi sarebbero stati collocati in un hot wallet dell'exchange, ovvero un wallet connesso a Internet utilizzato per elaborare depositi e prelievi. Gli asset in custodia di Binance possono ancora essere congelati; recuperarli, tuttavia, è tutta un'altra storia.

Tether congelaa gli USDT mentre i wallet passano a USDD

Tether hagelato parte degli USDT collegati al presunto furto, uno strumento incorporato nel token stesso, poiché l'emittente può inserire indirizzi in blacklist a livello di contratto. Altri fondi sarebbero stati convertiti in USDD, una stablecoin decentralizzata emessa sulla rete TRON, attraverso la piattaforma SUN.io e il suo Peg Stability Module, secondo TokenPost. Gli USDT congelati non potevano essere scambiati con nulla.

Un rapporto di TokenPost del 9 ottobre ha valutato gli asset del sospetto hacker in circa 70,60 milioni di dollari tra ETH, BTC, USDD e USDT. Sebbene i wallet monitorati da Arkham offrano una visione più ravvicinata di queste disponibilità, la valutazione citata nel rapporto non corrisponde all'importo confermato dei fondi presuntivamente persi.

Secondo il rapporto di marzo 2026 del FATF, sono necessarie misure più rigorose per garantire il congelamento e il blocco di tutte le transazioni sospette in stablecoin. Tuttavia, l'uso di USDD dimostra che i criminali possono spostare fondi al di fuori della portata di tali regole.

Ledger continua a indagare, e la cifra di 90 milioni non è confermata

Il 9 ottobre, Ledger ha annunciato su X di stare indagando sulle segnalazioni riguardanti i clienti dell'Asia sudorientale di CryptoBilis e ha chiesto al rivenditore di sospendere la distribuzione dei dispositivi, come riportato da Cryptopolitan. Ai clienti che avevano acquistato prodotti negli ultimi tre mesi è stato consigliato di non utilizzare i nuovi dispositivi, mentre agli utenti esistenti è stato detto di spostare i propri asset su un nuovo signer con una nuova seed phrase. Il consiglio riflette il modo in cui sono progettati gli hardware wallet: la seed phrase viene generata sul dispositivo e conservata offline, quindi un nuovo signer abbinato a una nuova seed phrase elimina qualsiasi dipendenza da una seed che potrebbe essere stata compromessa.

Secondo un articolo di The Block, pubblicato lo stesso giorno, le stime di tanuki42 e Specter variavano da 72 a 86 milioni di dollari e si basavano sull'analisi dell'attività blockchain. Le cifre riportate da Binance News il 9 ottobre fissano il totale a 90 milioni di dollari. Nessuna di queste cifre è stata confermata come stima effettiva delle perdite, erebbero riferirsi a wallet diversi.

Changpeng Zhao, uno dei co-fondatori di Binance, ha avanzato la teoria di un attacco alla supply chain specifico del venditore, in cui un dispositivo viene compromesso tra la produzione e la consegna. Mark Karpelès, ex CEO di Mt. Gox, ha sollevato la possibilità di manomissione dei dispositivi. Nessuna delle due teorie è stata convalidata o confermata.

Perché mixer e scambi di stablecoin continuano a sconfiggere i tentativi di recupero

Sanzionato dal Dipartimento del Tesoro statunitense nel 2022 e rimosso dalla lista delle sanzioni a marzo 2025, Tornado Cash è rimasto una tappa abituale per i fondi rubati. TRM Labs ha segnalato oltre 700 milioni di dollari di influssi su Tornado Cash fino a metà giugno 2026, pari a oltre il 20% dell'attività dei mixer. La sua revisione di luglio ha contato 207 hack e 972 milioni di dollari rubati nella prima metà dell'anno. Cryptopolitan ha precedentemente riportato che Tornado Cash è comparso nel 42% degli exploit studiati da Global Ledger.

Per i proprietari di wallet, la preoccupazione principale rimane la supply chain. Ledger non ha confermato la manomissione dei dispositivi. I suoi risultati, la risposta di Binance e gli ulteriori movimenti dei wallet potranno infine determinare quanto sarà possibile recuperare.