Secondo la società di sicurezza blockchain PeckShield, l'indirizzo collegato all'hack di Tectonic ha inviato circa 2.658,9 ETH, del valore di circa 6,65 milioni di dollari, in Tornado Cash il 3 settembre (UTC). Il deposito rappresenta una parte significativa dei fondi rimasti non recuperati da Cronos dopo che i validatori hanno eseguito il rollback della chain a seguito dell'incidente del 30 agosto.

La destinazione è importante ben oltre Cronos. Tornado Cash rimane il più grande mixer sulle reti basate su Ethereum, il che rende la transazione rilevante per gli exchange, gli investigatori e gli analisti che tracciano le criptovalute rubate. Poiché Tornado Cash è stato rimosso dalle sanzioni statunitensi nel marzo 2025, gli analisti on-chain si affidano ora al clustering statistico e alle tecniche di tipo follow-the-funds, anziché a leve di tipo giuridico, per monitorare dove riemergerà l'ETH.

Gli unici fondi che il rollback non ha potuto toccare

Quando Tectonic, la più grande piattaforma di lending di Cronos, è stata svuotata il 30 agosto, i validatori hanno arrestato la rete quasi immediatamente. Cronos ha dichiarato in seguito di aver ripristinato la chain allo stato precedente all'attacco e di aver ripreso la produzione di blocchi dal blocco numero 90.896.189.

Il rollback ha cancellato quasi tutti i saldi dell'attaccante su Cronos, ma non ha potuto annullare i fondi già trasferiti su Ethereum. Questa divisione definisce il quadro del recupero: circa 68 milioni di dollari bloccati nei due wallet Cronos restano fuori dalla portata dell'attaccante sulla chain sottoposta a rollback, mentre i fondi sul lato Ethereum rappresentano ora la porzione del bottino in movimento — e attivamente riciclata.

PeckShield stima che circa 74 milioni di dollari in fondi rubati siano tracciabili attraverso tre indirizzi: circa 60 milioni di dollari in un wallet Cronos, 8 milioni in un secondo e 6 milioni su Ethereum.

The Defiant ha riportato che, all'epoca, il saldo su Ethereum ammontava a 2.592,2152 ETH, equivalenti a circa 6,29 milioni di dollari. I dati di TRM Labs indicavano che l'hacker aveva inizialmente spostato quei fondi da Cronos tramite USDC prima di convertirli in circa 2.500 ETH.

Questo articolo utilizza la cifra di 75 milioni di dollari, basandosi sui report di TRM Labs e del ricercatore on-chain Weilin Li. La stima di PeckShield di circa 74 milioni di dollari riflette il valore arrotondato dei fondi nei tre indirizzi tracciati. La cifra più alta di 119,5 milioni di dollari deriva da una ricostruzione più ampia basata su nodi d'archivio, che include un contratto predisposto dagli attaccanti prima dell'exploit.

Un pump di 100x che ha svuotato il più grande lender di Cronos

L'attacco ha preso di mira un token con scarsa profondità di mercato. Secondo TRM Labs, TONIC ha registrato solo 305.000 dollari di volume di negoziazione nella settimana precedente all'hack, pur avendo un collateral ratio del 20%. Proprio questa combinazione — attività di trading minima associata a un reale potere di credito all'interno di un mercato di lending — ha reso il prezzo un input attaccabile anziché un segnale affidabile.

La società di sicurezza Halborn ha dichiarato che l'attaccante ha gonfiato il prezzo di TONIC di circa 100 volte in 20 minuti e ha utilizzato il token sopravvalutato come collateral per prendere in prestito asset più solidi da nove protocolli di lending.

Precedenti report di Cryptopolitan indicavano che le perdite stimate sono salite da circa 66 milioni a circa 75 milioni di dollari dopo che Li ha identificato un secondo wallet dell'attaccante. I dati di DeFiLlama mostrano che il total value locked (TVL) di Tectonic è crollato da circa 121,7 milioni di dollari prima dell'hack a circa 3 milioni.

Perché un deposito da 6,65 milioni di dollari ha effetti ben oltre Cronos

Sebbene il deposito in Tornado Cash sia piccolo rispetto al più ampio mercato crypto, il suo percorso è significativo. TRM Labs ha riportato che Tornado Cash aveva ricevuto più di 700 milioni di dollari entro giugno 2026 e rimaneva il più grande mixer sulle reti basate su Ethereum.

TRM ha inoltre documentato il suo utilizzo da parte di gruppi ransomware, cybercriminali e del Lazarus Group della Corea del Nord, pur rilevando che il protocollo serve anche a legittime finalità di privacy. Il Tesoro statunitense ha rimosso Tornado Cash dalla propria lista di sanzioni il 21 marzo 2025.

La risposta di Cronos ha sollevato anche la questione della finalità. Halborn ha osservato che il rollback ha limitato i danni, ma a un costo in termini di fiducia nell'immutabilità del registro. Cryptopolitan ha riportato che CRO è sceso di circa il 10% in 24 ore durante la ricaduta iniziale, mentre CoinMarketCap ha in seguito collegato la debolezza protratta all'exploit, all'arresto della rete e al rollback. L'episodio si aggiunge a un dibattito ricorrente negli ecosistemi proof-of-stake sui compromessi che i validatori accettano quando sovrascrivono lo stato finalizzato per contenere un exploit.

Un anno record per gli attacchi da manipolazione del prezzo

Tectonic si inserisce in una tendenza di sicurezza più ampia. PeckShield ha contato 50 grandi hack ad agosto, in aumento del 67% rispetto ai 30 di luglio, anche se le perdite totali sono scese del 49,5%, a 136,3 milioni di dollari dai 270 milioni. Tectonic è stato l'incidente più grave di agosto e, all'epoca, si è classificato come il quarto più grande furto crypto del 2026.

Secondo TRM Labs, gli exploit da manipolazione del prezzo hanno già raggiunto un massimo storico nel 2026, con 32 casi registrati finora.

La debolezza di fondo non è sempre un codice difettoso. Quando un collateral scarsamente scambiato riceve un potere di credito significativo, gli attaccanti possono prendere di mira il prezzo su cui il protocollo si affida. Tectonic illustra quanto rapidamente quel rischio possa propagarsi — da un token illiquido, a un protocollo di lending, a un rollback della chain e, infine, nell'ecosistema del riciclaggio cross-chain. Per investigatori ed exchange, la questione immediata è se l'ETH appena miscelato riemerga nei punti di cash-out; per i protocolli di lending nel DeFi, è se le politiche di oracle e collateral per i token a bassa liquidità vengano rese più rigorose prima del prossimo evento di manipolazione.

Fonti: PeckShield, Cronos Network, The Defiant, TRM Labs, Halborn, DeFiLlama.