L'investigatore blockchain ZachXBT ha dichiarato martedì che la perdita di criptovalute non ancora divulgata presso un istituto non nominato dell'Europa occidentale ha superato i 133 milioni di dollari, rispetto ai 106 milioni citati un giorno prima. ZachXBT, che in passato ha già indotto divulgazioni rendendo pubbliche violazioni legate alle criptovalute, sostiene ora che l'entità dell'Unione europea interessata stia nascondendo la violazione anziché segnalarla alle autorità UE.

Una banca UE sta nascondendo un hackeraggio in criptovalute?

Scrivendo sul suo canale Telegram nelle prime ore di martedì, ZachXBT ha dichiarato: "La mia ipotesi di lavoro è che una grande istituzione finanziaria dell'Europa occidentale sia stata attaccata e che l'accaduto stia attualmente venendo insabbiato."

Secondo l'investigatore, la stima delle perdite si aggira ora sui 133 milioni di dollari, dopo ulteriori 27 milioni di dollari in prelievi elaborati tramite exchange centralizzati. I prelievi sono continuati anche dopo la sua divulgazione iniziale di lunedì.

Nonostante ripetute segnalazioni sull'incidente, la vittima non è stata nominata, e l' accuse di insabbiamento non è stata verificata in modo indipendente.

ZachXBT non sospetta il coinvolgimento del gruppo Lazarus della Corea del Nord, l'unità implicata in molte delle violazioni più gravi che hanno colpito il settore delle criptovalute, affermando che lo schema di riciclaggio non somiglia alle rotte tipicamente utilizzate dal gruppo. Ha inoltre rilevato che oltre 30 milioni di dollari dei fondi sospettati di essere stati rubati sarebbero rientrati nella rete di congelamento dell'UE se l'incidente fosse stato segnalato.

Tre exchange prosciugati in un giorno

La società di analisi Bitquery, che ha pubblicato la propria indagine sul furto, ha tracciato on-chain 108,8 milioni di dollari collegati all'incidente. I trasferimenti sono iniziati domenica 1° novembre, prosciugando account presso Kraken, Crypto.com e OKX nell'arco di circa 21 ore.

La maggior parte del denaro si è spostata come USDC verso 15 wallet, 11 dei quali erano già stati pagati dagli stessi exchange prima del furto. Questo dettaglio ha portato Bitquery a concludere che l'attaccante aveva in mano le chiavi della vittima e le credenziali di accesso agli exchange, con l'ipotesi di lavoro che l'attaccante abbia compromesso i dispositivi del proprietario, o almeno un dispositivo appartenente a qualcuno del team della vittima.

Otto dei wallet compromessi erano smart account Trust Wallet. Bitquery ha sottolineato che l'incidente non indica un difetto nell'app Trust Wallet.

Dopo il furto, i fondi sono stati rapidamente spostati da asset congelabili ad asset non congelabili. Circa 62,98 milioni di dollari in stablecoin sono stati convertiti in 27.553 ETH tramite UniswapX nell'arco di circa quattro ore, poi instradati in Monero (XMR), una privacy coin concepita per nascondere i dettagli delle transazioni, e attraverso bridge.

Bitquery ha dichiarato che circa 78,3 milioni di dollari si trovavano ancora su Ethereum in wallet collegati all'attaccante alle 13:47 UTC del 2 novembre, mentre il wallet dell'attaccante continua a detenere 3,74 milioni di dollari in USDC — denaro che Circle può ancora congelare.

Perché una vittima banca avrebbe un impatto diverso

La teoria di ZachXBT punta a una categoria di imprese entrate di recente nel mercato. Le banche europee nel 2026 si sono mosse verso le criptovalute sotto le regole UE sui Mercati in Crypto-Asset, e i fornitori di credito rappresentano ormai quasi il 23% dei fornitori di servizi in crypto-asset nel registro MiCA dell'UE a settembre. Deutsche Bank, il maggiore istituto di credito tedesco, ha puntato all'approvazione MiCA per la custodia di asset digitali. L'autorizzazione MiCA è ciò che rende possibile questa transizione: i fornitori di servizi in crypto-asset autorizzati possono offrire servizi come custodia e cambio, ed è così che le banche sono passate da spettatrici a gestione diretta degli asset digitali dei clienti.

Il report precedente di Cryptopolitan sul prosciugamento da 106 milioni di dollari aveva rilevato lo stesso schema visto negli hackeraggi di Binance e Bitget: gli attaccanti convertono le stablecoin in Ether e privacy coin prima che Circle o Tether possano agire.

La questione della divulgazione

L'accusa di insabbiamento ha il massimo peso se la vittima è un'entità finanziaria. Ai sensi del Digital Operational Resilience Act (DORA) dell'UE, in vigore dal 17 gennaio 2025, le imprese finanziarie, inclusi i fornitori di servizi in crypto-asset, devono segnalare e riferire ai supervisori i principali incidenti legati alle ICT tramite un primo allerta, un aggiornamento successivo e una relazione conclusiva, secondo il regolatore dei mercati francese, l'AMF.

Il punto di ZachXBT è che il ritardo ha comportato un costo diretto: senza la divulgazione, sostiene, circa 30 milioni di dollari sono andati fuori portata che le autorità avrebbero potuto congelare. Resta non confermato se sia coinvolto un'entità soggetta al DORA, e nessun regolatore ha nominato una vittima. Per ora, la storia dipende da una breve lista di fatti ancora aperti: l'identità dell'istituto, se un supervisore confermi di aver ricevuto una segnalazione di incidente, e se gli USDC ancora congelabili verranno congelati o convertiti in asset che nessun emittente può toccare.