Hacker sospettati nordcoreani hanno prosciugato 387,5 milioni di dollari dall'exchange crypto Bitget la scorsa settimana, e gli investigatori si sono mossi rapidamente per segnalare e tracciare gli indirizzi dei destinatari. Il CEO di Bitget, Gracy Chen, ha quindi lanciato una richiesta controversa: che la piattaforma decentralizzata di swap cross-chain THORChain "negasse il servizio a questi indirizzi".

THORChain ha replicato, dichiarando: "THORChain è decentralizzato e permissionless come Bitcoin, Ethereum e BNB Chain. Quale responsabilità dovrebbero assumere Bitcoin, Ethereum e BNB Chain nella gestione di fondi notoriamente rubati?" La situazione ha reso più acuta una domanda con stakes ben oltre un singolo hack: quanto controllo può esercitare un protocollo decentralizzato prima di perdere la protezione legale che una genuina decentralizzazione garantisce.

Il rifiuto ha suscitato critiche immediate, in particolare perché il protocollo si era arrestato senza esitazioni a maggio, quando 10,7 milioni di dollari dei propri fondi erano stati sottratti con un exploit. A complicare ulteriormente le cose, THORChain ha ritirato la propria admin key e afferma di non avere un modo semplice per censurare gli indirizzi, anche se lo volesse.

La controversia non è senza precedenti. THORChain era stato precedentemente utilizzato per scambiare circa 1,2 miliardi di dollari dei fondi rubati nell'hack da 1,46 miliardi di dollari dell'exchange Bybit — un episodio sviluppatosi, per coincidenza, appena 11 giorni dopo che il protocollo aveva ritirato la propria admin key. E poiché THORChain è una piattaforma di swap e non un mixer, i fondi che vi transitano rimangono tracciabili on-chain anche dopo essere usciti dall'altro lato.

NEAR Intents ha adottato l'approccio opposto. Il suo programma automatizzato SHIELD ha bloccato gli indirizzi collegati all'hack dallo scambiare 50 milioni di dollari sulla piattaforma, e ha perfino rifiutato la taglia del 5% che Bitget offriva per farlo. Ora NEAR Intents si trova sotto il fuoco dei massimalisti della decentralizzazione per non essere abbastanza permissionless.

Per analizzare le questioni legali in gioco, Magazine ha parlato con Yuriy Brisov di D&A Partners. Segue una versione editata della conversazione.

Magazine: Bitget ha chiesto THORChain di bloccare i fondi legati all'hack, e il protocollo ha risposto di essere decentralizzato e permissionless. È una difesa legale? Ha l'obbligo di bloccare quegli indirizzi?

Brisov: Dipende dal livello di decentralizzazione. Quando bloccano degli indirizzi, dimostrano che i loro nodi non sono veramente decentralizzati. Questo è positivo per la comunità quando il potere viene usato per prevenire attività dannose — ma allo stesso tempo espone il progetto a qualsiasi altra pretesa legale. La loro unica protezione è "siamo decentralizzati".

Nel caso Uniswap, hanno detto: "siamo veramente decentralizzati e non possiamo farci nulla". [Investitori hanno citato in giudizio Uniswap dopo aver acquistato 38 token rugpull e truffaldini, ma un giudice ha respinto il caso a marzo —NdR.] È la difesa più forte disponibile per qualsiasi protocollo DeFi. Se un progetto dimostra di poter bloccare, controllare o comunque interferire — anche in un tentativo in buona fede di prevenire frodi — si espone all'argomento che il suo controllo non dovrebbe limitarsi ai casi di frode evidenti. I querelanti possono insistere che il progetto debba anche gestire la due diligence, applicare il KYC e adottare misure di protezione AML.

Related: Uniswap batte la class action che lo accusava di aver agevolato i crypto 'rug pulls'

Magazine: NEAR Intents ha bloccato quegli indirizzi, e Bitget ha ringraziato la piattaforma per averlo fatto. Significa che NEAR ha dimostrato che Intents non è decentralizzato e che pertanto dovrà interferire in molte altre situazioni?

Brisov: Se dimostri di avere il controllo sugli asset, ti esponi potenzialmente a ogni tipo di pretesa — schemi pump-and-dump, volatilità o qualsiasi altro reclamo da parte di investitori in qualche modo danneggiati o lesi. Possono ora dire che hai il controllo. Perché l'hai usato in un caso e non in un altro? Perché non verifichi tutti gli emittenti di token sulla tua piattaforma? Perché non fornite moduli KYC come qualsiasi exchange centralizzato?

Magazine: THORChain sostiene che l'arresto del protocollo a maggio sia stato inizialmente innescato da un sistema automatizzato e che non abbia la capacità di bloccare indirizzi specifici. Se vero, è una difesa?

Brisov: Potrebbe esserlo. Non lo sappiamo ancora, perché non è mai stato contestato. Ma qualsiasi quantità di controllo rende qualsiasi progetto DeFi più debole nei confronti di qualsiasi querelante.

Magazine: D'altra parte, il protocollo potrebbe aggiornare il proprio software se volesse bloccare determinati indirizzi. Un progetto potrebbe incorrere in problemi legali per imprudenza o negligenza se decide di non adottare tali misure?

Brisov: Dipende da come viene fatto sul piano tecnico. Supponiamo che un oracolo possa rilevare qualsiasi indirizzo IP nordcoreano e bloccarlo automaticamente, senza alcuna persona seduta a premere un pulsante — "c'è un hacker nordcoreano, blocchiamolo". Allora va bene. Ma se un team sorveglia la situazione e dice: "Vediamo che si tratta di attività illecite, blocchiamo questi indirizzi", e preme il pulsante manualmente, allora dal punto di vista legale anche se si tratta di un atto buono che avvantaggia la comunità — il progetto non è pienamente decentralizzato in senso giuridico. Questo priva delle protezioni che normative come MiCA [le leggi europee sui Markets in Crypto-Assets] o la generale comprensione di SEC e CFTC garantiscono: che se sei pienamente decentralizzato, non puoi essere ritenuto responsabile delle azioni dei partecipanti al tuo ecosistema.

Magazine: La tecnologia di NEAR si chiama SHIELD. Identifica automaticamente gli indirizzi associati a hack noti sulle blockchain pubbliche e li blocca dall'accesso a Intents. Questo rende più probabile che venga considerata decentralizzata?

Brisov: Decisamente. Dimostrano di essere attori in buona fede che costruiscono misure di protezione nei loro protocolli. Non c'è un team di compliance di persone sedute a controllare manualmente l'operazione. È una soluzione intelligente, ed è ciò che raccomandiamo a tutte le aziende DeFi.

Magazine: A febbraio 2025, THORChain ha ritirato la admin key che avrebbe consentito al team centrale di apportare quei tipi di modifiche unilaterali. Vista l'assenza di una admin key e il fatto che gestisce un centinaio di validatori, il protocollo è sufficientemente decentralizzato?

Brisov: Molto probabilmente, ma non possiamo dirlo con certezza. Direi di sì.

Magazine: THORChain non è un mixer. I fondi rubati a Bitget possono essere scambiati sulla piattaforma, ma quando emergono dall'altro lato, restano trasparentemente collegati agli hacker di Bitget. Come si concilia con la definizione di riciclaggio di denaro? O si tratta di ricettazione?

Brisov: Non vedo come possano essere ritenuti responsabili di riciclaggio di denaro — persino Tornado Cash, che era in una certa misura creato per riciclare denaro, [ha evitato le sanzioni statunitensi poiché gli smart contract immutabili non sono proprietà sanzionabile ai fini del riciclaggio —NdR.] La legge americana classifica qualcosa come proprietà o non proprietà. Il riciclaggio di denaro è lo spostamento illegale di proprietà attraverso canali legali: generi proventi di attività illecite, che sono proprietà, poi li sposti attraverso alcuni canali e cerchi di renderli legali. Ma gli smart contract non sono affatto proprietà. Non li controlli. Non li possiedi. È così che Tornado Cash ha vinto la sua causa in tribunale nei confronti delle sanzioni OFAC — ha semplicemente dimostrato di non avere alcun controllo sui propri smart contract.

Magazine: L'hack di Bybit è avvenuto 18 mesi fa. Significa che non verranno intraprese azioni legali contro THORChain, o questi casi richiedono semplicemente molto tempo?

Brisov: Potrebbe sicuramente accadere in futuro. Dopo il caso Bybit, si sono seriamente esposti a potenziali rivendicazioni.

Per ora, l'argomento della decentralizzazione del protocollo rimane giuridicamente non testato — Brisov ha osservato che nessuna contestazione dell'arresto automatizzato è stata ancora presentata — e ha detto che potenziali rivendicazioni legate all'episodio Bybit potrebbero ancora emergere, sviluppi che metterebbero direttamente alla prova quella difesa permissionless.

Magazine: Big Questions: Satoshi possiede davvero 1,1 milioni di Bitcoin?