La Corea del Nord ha negato collegamenti con l'hack di Binance mentre le società di analisi blockchain tracciano miliardi di dollari in fondi sottratti che si muovono attraverso migliaia di wallet e più reti. Pyongyang ha definito l'attribuzione statunitense una «grave provocazione politica», mentre Elliptic e Chainalysis hanno descritto una complessa operazione di riciclaggio che continua a spostarsi da una blockchain all'altra. I ricercatori stanno tracciando i fondi sottratti a Binance, e le loro conclusioni si concentrano sulla scala e sulla sequenza di tali movimenti.

Il riciclaggio si estende su 11 blockchain e 12.000 wallet

Elliptic ha dichiarato che gli hacker hanno utilizzato circa 12.000 wallet su 11 blockchain nei primi quattro giorni successivi all'attacco. La società ha conteggiato più di 40.000 transazioni, con una media di un nuovo wallet utilizzato ogni 25 secondi, descrivendo l'attività come altamente complessa e automatizzata.

Gran parte del riciclaggio iniziale si è svolta su Tron, secondo Elliptic. La rete è ampiamente utilizzata per i trasferimenti di stablecoin. I fondi sono stati distribuiti su circa 7.700 indirizzi prima di spostarsi su Ethereum tramite bridge cross-chain — servizi che trasferiscono asset tra reti altrimenti separate — e almeno 147 milioni di dollari avevano lasciato Tron attraverso questa rotta, ha dichiarato la società.

Gli hacker hanno anche scambiato stablecoin sottratte tramite exchange decentralizzati — piattaforme che consentono agli utenti di scambiare token senza un intermediario centrale — in criptovalute che gli emittenti non possono congelare, tra cui ether. Tether e Circle, gli emittenti delle stablecoin USDT e USDC, possono congelare i token a livello di emittente, un controllo di cui ether non dispone. Elliptic ha dichiarato che circa 786 milioni di dollari in stablecoin erano stati convertiti prima che Tether e Circle congelassero gli asset rimanenti. I movimenti si sono successivamente estesi ad altre reti, tra cui Solana.

Chainalysis ha riferito che attori legati alla Corea del Nord avevano avviato una nuova fase di riciclaggio dopo aver spostato più di 500 milioni di dollari tramite wallet intermediari su Tron. Separatamente, Elliptic ha identificato i primi segni di mixing di bitcoin, una tecnica progettata per rendere le transazioni più difficili da tracciare.

Fondi congelati, conversioni e un ritmo più lento rispetto a Bybit

Entro le prime ore di lunedì, circa 28 bitcoin, per un valore di 2,2 milioni di dollari, erano passati attraverso 18 transazioni di mixing, ha dichiarato Elliptic. La società ha riferito che circa 2,85 miliardi di dollari — il 44% dei 6,43 miliardi che dichiara siano stati sottratti — erano stati congelati o sequestrati, mentre circa 3,24 miliardi di dollari rimanevano in indirizzi collegati al furto, per lo più in bitcoin ed ether.

Solo una quantità trascurabile sembra essere stata incassata. La maggior parte dell'attività ha riguardato trasferimenti o conversioni tra criptovalute anziché conversioni in fondi spendibili.

Elliptic ha osservato che questo riciclaggio si è svolto più lentamente rispetto alla conseguenze dell'hack di Bybit da 1,5 miliardi di dollari di febbraio 2025 — il più grande furto di criptovalute registrato all'epoca — quando gli hacker nordcoreani spostarono tutto l'ether sottratto entro 10 giorni. La società si attende che i fondi rimanenti vengano gradualmente convertiti in bitcoin e potenzialmente incassati tramite broker over-the-counter — desk che regolano operazioni di grandi dimensioni al di fuori dei libri degli ordini pubblici — ed exchange nell'arco di diversi mesi.

Binance ripristina i prelievi

Binance ha dichiarato che riaprirà progressivamente i prelievi per ulteriori asset crittografici su più reti a seguito dell'hack della settimana scorsa. L'exchange ha inoltre dichiarato di aver coperto circa il 95% dell'importo interessato, con il restante 5% composto da token meno liquidi la cui acquisizione richiede più tempo; Binance ha dichiarato di stare lavorando con partner del settore per acquisire tali asset.

Una precedente copertura di BlockTelegraph ha documentato i deflussi da Binance dopo l'hack e le autorizzazioni dei wallet segnalate in un altro incidente. Un rapporto separato traccia i fondi sottratti in movimento verso Zcash. Tali articoli coprono reportage distinti e non stabiliscono fatti aggiuntivi sui trasferimenti qui descritti.

Il prossimo sviluppo dichiarato è il ripristino graduale dei prelievi da parte di Binance, che lavora con partner del settore per reperire i restanti token meno liquidi. Le versioni delle società di analisi, nel frattempo, descrivono fondi ancora in movimento attraverso indirizzi collegati, conversioni e transazioni di mixing.