Gli hot wallet controllati da Triple-A sembrano aver perso oltre 9,7 milioni di dollari su più blockchain, con il presunto attaccante che avrebbe scambiato gli asset e consolidato i proventi su Ethereum, secondo analisti on-chain e ricercatori di sicurezza blockchain.

I deflussi sospetti avrebbero interessato almeno quattro reti, tra cui Ethereum, Solana, TRON e TON. Alcuni report hanno indicato anche transazioni che coinvolgono Polygon e Arbitrum, il che potrebbe estendere l’incidente a sei reti.

Il presunto attaccante ha consolidato i proventi in circa 5.226,66 ETH su Ethereum. Al momento della stesura, Triple-A non aveva confermato la violazione e non aveva comunicato se fossero stati colpiti fondi dei clienti.

Attività sospetta identificata negli hot wallet di Triple-A

L’analista on-chain Specter ha segnalato per primo transazioni sospette che coinvolgevano hot wallet collegati a Triple-A, fornitore con sede a Singapore di infrastrutture di pagamento in stablecoin.

Gli hot wallet sono wallet connessi a internet, generalmente utilizzati per la liquidità operativa, inclusi depositi, prelievi e pagamenti. Questo rende importante la distinzione tra compromissione di un wallet ed exploit a livello di protocollo, perché controlli interessati, controparti e opzioni di recupero possono essere diversi.

Specter aveva inizialmente stimato che oltre 9,3 milioni di dollari fossero stati rimossi, scambiati e trasferiti tra chain verso Ethereum. La società di sicurezza blockchain PeckShield ha poi rilanciato l’allerta, mentre stime successive hanno collocato la perdita sospetta sopra 9,7 milioni di dollari.

There appear to be ongoing wallet draining involving @TripleH hot wallets across multiple chains, including TRON, Ethereum, TON, and Solana. So far, more than $9.3M has been drained, swapped, and bridged to Ethereum. The funds are currently being consolidated here: Ethereum… pic.twitter.com/pLKvVwMWav — Specter (@SpecterAnalyst) July 24, 2026

https://x.com/SpecterAnalyst/status/2080764538874462386?ref_src=twsrc%5Etfw

L’attività avrebbe coinvolto wallet Triple-A operativi su Ethereum, Solana, TRON e TON. Ulteriori report hanno citato possibile attività su Polygon e Arbitrum, sebbene Triple-A non avesse confermato pubblicamente l’estensione delle reti interessate.

La società non aveva inoltre comunicato quando fosse iniziata l’attività sospetta, in che modo i wallet fossero stati accessi, né se gli asset colpiti appartenessero a Triple-A, ai suoi clienti business o ai destinatari dei pagamenti.

In assenza di una dichiarazione della società o di un’indagine tecnica completata, l’incidente resta una presunta compromissione di hot wallet anziché un exploit di protocollo confermato.

Gli asset sono stati trasferiti tramite bridge e consolidati su Ethereum

I dati on-chain citati dai ricercatori di sicurezza indicano che gli asset trasferiti sono stati scambiati e spostati tramite bridge su Ethereum dopo aver lasciato i wallet interessati.

L’indirizzo ricevente avrebbe detenuto circa 5.226,66 ETH, valutati approssimativamente 9,7 milioni di dollari al momento dell’allerta. Consolidare gli asset in Ether può rendere più semplice spostare da un unico indirizzo un insieme di stablecoin e token specifici di diverse reti.

I ricercatori non hanno identificato pubblicamente il presunto attaccante. Non hanno neppure stabilito se l’indirizzo ricevente sia collegato a exploit precedenti. Nessun report ha confermato che i fondi siano stati trasferiti verso un exchange, un mixer o un altro servizio dopo essere arrivati su Ethereum.

La differenza tra la stima iniziale di Specter, superiore a 9,3 milioni di dollari, e le cifre successive sopra 9,7 milioni di dollari potrebbe riflettere trasferimenti aggiuntivi o variazioni del valore di mercato di Ether. Una cifra verificata della perdita dipenderà dall’identificazione, da parte di Triple-A, di ogni wallet e transazione interessati.

Il ruolo di Triple-A nei pagamenti aggiunge questioni regolamentari e di controparte

Triple-A fornisce infrastrutture che consentono alle aziende di incassare, convertire e inviare pagamenti tramite stablecoin e reti bancarie tradizionali. I suoi servizi includono checkout per merchant, pagamenti business, pagamenti locali e regolamento transfrontaliero.

Per una società di pagamenti, la fonte e la proprietà degli asset nei wallet operativi possono determinare se un incidente sia limitato ai fondi di tesoreria o se incida su merchant, flussi di pagamento o obblighi di regolamento. Al momento della stesura, questi dettagli non erano stati divulgati.

La società afferma di operare come istituzione finanziaria autorizzata negli Stati Uniti, in Europa e a Singapore. Triple-A detiene inoltre una licenza di Major Payment Institution rilasciata dalla Monetary Authority of Singapore e a marzo è entrata nel Circle Payments Network per supportare il regolamento da stablecoin a valuta locale.

La presenza di Triple-A negli Stati Uniti conferisce all’incidente una potenziale dimensione regolamentare e di controparte, sebbene non vi siano prove che clienti o società statunitensi abbiano subito perdite. Qualsiasi impatto negli Stati Uniti dipenderà da quale entità controllava i wallet, da chi possedeva gli asset e dal coinvolgimento o meno di operazioni di pagamento regolamentate.

Triple-A utilizza Fireblocks come parte della propria infrastruttura per asset digitali. Tuttavia, né i ricercatori on-chain né Triple-A hanno attribuito la presunta violazione a Fireblocks, e nessuna prova disponibile indica che il fornitore di tecnologia di custodia sia stato compromesso.

L’incidente segue un attacco cross-chain separato

La presunta violazione di Triple-A segue un altro recente incidente che ha coinvolto infrastrutture cross-chain. Come riportato da crypto.news, il 17 luglio un attaccante ha fabbricato 1.627 eventi di deposito su Solana prendendo di mira il relayer di Across Protocol gestito da Risk Labs.

Quei falsi depositi richiedevano 41,7 milioni di dollari in pagamenti su 18 chain di destinazione. Il relayer di Risk Labs ha soddisfatto 581 richieste prima che Across interrompesse le operazioni su Solana, limitando la perdita realizzata a meno di 4 milioni di dollari, secondo il report post-incidente del protocollo.

Gli incidenti di Across e Triple-A non sembrano essere collegati. Tuttavia, entrambi i casi hanno riguardato attività distribuite su diverse reti, aumentando il numero di wallet, sistemi di transazione e processi di monitoraggio necessari per rilevare trasferimenti sospetti.

Triple-A non ha ancora comunicato se abbia sospeso depositi, prelievi o operazioni cross-chain. La prossima dichiarazione della società dovrebbe chiarire la perdita finale, gli asset interessati, l’origine della violazione e se i clienti riceveranno un risarcimento.