Secondo un rapporto di The Defiant, i proventi dell'exploit X100 sono stati distribuiti su quattro distinti wallet Ethereum, con ciascun indirizzo che ha ricevuto 400 ETH. La suddivisione strutturata ammonta a 1.600 ETH sui quattro indirizzi — uno schema di distribuzione che complica l'attribuzione on-chain diretta e aumenta la sfida operativa di tracciare i fondi rubati prima che si spostino ulteriormente.

The Defiant ha riportato la suddivisione dei wallet come stato immediato successivo all'exploit, il che significa che i quattro indirizzi rappresentano il primo livello osservabile del movimento dei fondi dopo l'esecuzione dell'exploit. Se tali wallet abbiano successivamente spostato fondi è una questione separata che il monitoraggio on-chain in tempo reale dovrebbe chiarire.

Uno schema riconosciuto nel post-hack

Invece di consolidare i proventi in un unico indirizzo, la distribuzione ha collocato 400 ETH in ciascuno di quattro distinti wallet. Suddividere i proventi di un exploit in questo modo è uno schema riconosciuto nella gestione dei fondi dopo un attacco: riduce l'impronta di ogni singolo wallet e distribuisce il carico di monitoraggio su più indirizzi.

I block explorer come Etherscan consentono a chiunque di consultare la cronologia delle transazioni e il saldo attuale di ogni indirizzo coinvolto. Un saldo di 400 ETH in ciascun wallet è abbastanza grande da poter essere tracciato, ma strutturato in dimensioni abbastanza piccole da poter passare attraverso mixer o protocolli bridge che spesso impongono limiti per transazione. L'approccio riflette gli schemi osservati nell'exploit di Initia, in cui anche il routing dei fondi post-hack ha attirato un'immediata attenzione on-chain.

Perché la suddivisione in quattro wallet è rilevante per il tracciamento on-chain

Ciascuno dei quattro wallet costituisce un bersaglio di tracciamento indipendente. I ricercatori di sicurezza e le società di analisi blockchain in genere segnalano tali indirizzi ai team di compliance degli exchange, che possono quindi bloccare i depositi provenienti da essi. Con quattro indirizzi anziché uno, il processo di segnalazione deve procedere in parallelo su quattro identificativi distinti, ognuno con il proprio futuro grafo di transazioni. Gli exchange centralizzati sono il punto di controllo pratico per queste segnalazioni: le piattaforme regolamentate collegano gli indirizzi di deposito a account verificati tramite identità, ed è così che una traccia on-chain si converte in un'azione di compliance a livello di account.

La conseguenza pratica è che qualsiasi trasferimento successivo da uno qualsiasi dei quattro indirizzi — verso un indirizzo di deposito di un exchange centralizzato, un protocollo di privacy o un contratto bridge — diventa un nuovo punto dati nel grafo di tracciamento. Il monitoraggio pubblico di tali movimenti ha in passato contribuito ad attivare azioni di blacklisting quando i fondi rubati sono stati convertiti in stablecoin: Tether e Circle hanno entrambi congel USDT e USDC su indirizzi wallet collegati a exploit precedenti quando sono state presentate prove on-chain da parte dei team di sicurezza.

I limiti dell'attribuzione on-chain

La proprietà dei wallet su Ethereum è pseudonima. Osservare che quattro wallet hanno ricevuto ciascuno 400 ETH da transazioni collegate all'exploit stabilisce il flusso dei fondi, ma non stabilisce chi controlla tali wallet. Il rapporto di The Defiant descrive la distribuzione; non attribuisce il controllo dei wallet a nessun individuo o gruppo nominato.

Gli analisti di sicurezza che monitorano questo tipo di suddivisione cercano segnali comportamentali nelle transazioni successive: correlazioni temporali tra l'attività dei wallet, indirizzi pagatori di gas condivisi o instradamento attraverso lo stesso contratto bridge o mixer. Questi schemi possono restringere le ipotesi di attribuzione senza confermare l'identità. Finché ulteriori movimenti on-chain non saranno osservati e analizzati, i quattro wallet rimangono indirizzi da tenere sotto osservazione anziché endpoint confermati — e la fase di dormienza stessa è una fase nota nella gestione dei fondi post-hack, con la copertura analitica di incidenti precedenti che ha documentato lunghi periodi di quiete prima che i fondi rubati si muovessero di nuovo.

L'indirizzo del contratto del token X100 è consultabile su Etherscan, dove la cronologia delle transazioni associata all'exploit e ai successivi movimenti dei wallet può essere esaminata direttamente. I dati on-chain forniscono la verità di riferimento; le segnalazioni secondarie, compresa la copertura iniziale di The Defiant, indicano ai ricercatori quali indirizzi esaminare, senza sostituire i dati dell'explorer stesso.

Per i progetti che operano all'intersezione tra infrastruttura token ed esecuzione on-chain, il caso X100 si aggiunge a un registro di incidenti in crescita che i team di sicurezza di tutto l'ecosistema Ethereum stanno tracciando. La scelta strutturale di suddividere i proventi in modo simmetrico tra quattro wallet di uguali dimensioni è di per sé un punto dati: suggerisce una pianificazione deliberata nella fase successiva all'exploit anziché un movimento dei fondi improvvisato, e quel dettaglio operativo entrerà in qualsiasi post-mortem formale o segnalazione alle forze dell'ordine.

Disclaimer: Questo articolo ha finalità puramente informative e non costituisce consulenza finanziaria o di investimento. I mercati delle criptovalute e degli asset digitali comportano rischi significativi. Effettuate sempre le vostre ricerche prima di prendere decisioni.