Hacker hanno sottratto 30 milioni di dollari da una banca, convogliato i fondi tramite conti appena aperti e usati per acquistare criptovalute. Gli investigatori hanno seguito il denaro quasi in tempo reale. Gli exchange che lo custodivano non sono comunque riusciti a congelarlo, perché nessuno aveva confermato ufficialmente l'esistenza di una vittima.

Questa è la frustrazione centrale di un caso analizzato da Taylor Monahan, ricercatrice di sicurezza e fondatrice di MyCrypto, in una conversazione con la giornalista Laura Shin intorno al 4 novembre 2026. In questa storia di rapina, il collo di bottiglia non è stato la blockchain. È stata una telefonata che non è mai arrivata dalla banca.

Come si sono mossi i soldi

Secondo la ricostruzione discussa da Monahan e Shin, gli aggressori hanno prelevato circa 30 milioni di dollari dai conti della banca. I fondi non sono finiti direttamente in criptovalute. Sono prima atterrati su conti fiat appena aperti, dai quali gli hacker hanno convertito il denaro in criptovalute su diversi exchange centralizzati.

Una volta toccate le blockchain pubbliche, il denaro è diventato visibile. È qui che è entrato in scena ZachXBT, l'investigatore on-chain indipendente. ZachXBT ha tracciato il flusso dei fondi rubati e ha tentato di coordinarsi con gli exchange per far congelare gli asset. Sulla carta, è lo scenario ideale: un investigatore segnala denaro sporco fermo su piattaforme regolamentate che hanno la capacità tecnica di bloccarlo. Le sedi centralizzate sono anche il punto in cui si applicano gli obblighi di conformità — verifiche di identità all'onboarding, monitoraggio dell'attività dei conti — ed è per questo che gli investigatori indirizzano prima i loro avvisi a queste piattaforme: sono i punti di strozzo che dispongono sia dei registri sia della capacità tecnica di intervenire.

Nella pratica, l'iniziativa si è bloccata. La banca non aveva riconosciuto pubblicamente l'hack e non aveva rilasciato alcuna dichiarazione sulla violazione mentre il tracciamento era in corso. Senza quella conferma, agli exchange è mancata la verifica necessaria per agire. Un investigatore terzo che afferma che un denaro è rubato non è la stessa cosa del proprietario di quel denaro che lo dichiara.

Non esattamente di livello Lazarus

Monahan ha anche offerto la sua lettura su chi potesse trovarsi dietro l'operazione. A suo giudizio, non sembrava legata al gruppo Lazarus, l'organizzazione collegata alla Corea del Nord associata ad alcuni dei maggiori furti nella storia delle criptovalute. La sua descrizione puntava verso un gruppo meno sofisticato.

Questo rende l'esito più inquietante, non meno. Se un gruppo meno rifinito può spostare denaro bancario rubato in criptovalute mentre gli investigatori osservano, le lacune appaiono procedurali e non tecniche.

La discussione ha anche segnalato preoccupazioni sulla latenza del tracciamento in tempo reale. Gli strumenti di tracciamento possono seguire i fondi rapidamente, ma la catena di risposta umana e istituzionale si muove a una velocità molto diversa. La conversazione ha sottolineato la necessità di una cooperazione più rapida tra istituzioni finanziarie ed exchange, in particolare nell'accessorio fiat-cripto, il punto in cui il denaro tradizionale diventa asset digitale.

Perché una vittima assente blocca il sistema

Congelare i fondi dei clienti è un passo serio per qualsiasi exchange, e il requisito di una vittima confermata funge da salvaguardia. Congelare il conto sbagliato rischia di danneggiare un cliente legittimo; rilasciare fondi segnalati rischia di rendere la piattaforma l'ultima tappa prima che la pista del riciclaggio si raffreddi. Questo compromesso è esattamente il motivo per cui il problema emerge quando la vera vittima tace. In questo caso, l'istituzione che ha perso il denaro era l'unica parte la cui parola poteva sbloccare una risposta, e non si era espressa pubblicamente.

Le banche hanno le loro ragioni per muoversi con cautela dopo una violazione: indagini interne, revisione legale, questioni reputazionali. Nessuna di queste tempistiche si allinea alla velocità con cui le criptovalute possono muoversi una volta raggiunto un registro pubblico.

Il risultato è una strana inversione. Le criptovalute, spesso criticate come l'opaca parte della finanza, sono state la parte di questa storia in cui il denaro era visibile. La banca tradizionale era il punto in cui si trovava il divario informativo.

Cosa significa per exchange, banche e utenti

Per gli exchange centralizzati, il caso evidenzia una posizione scomoda. Possono essere l'ultimo checkpoint prima che i fondi rubati scompaiano ulteriormente, ma sono vincolati a standard di verifica che dipendono dall'intervento di terze parti.

Per le banche, la lezione riguarda la rapidità della divulgazione, almeno verso le controparti giuste. Confermare privatamente una violazione agli exchange che custodiscono fondi tracciati è un atto diverso dal pubblicare un comunicato stampa, e le due cose non devono avvenire sullo stesso calendario.

ZachXBT ha dimostrato ripetutamente che il tracciamento è la metà più facile del problema. Questo caso illustra la metà più difficile: far agire le istituzioni che hanno il potere di farlo prima che il denaro si sposti di nuovo. Il segnale da osservare da qui in poi è la divulgazione. Se la banca confermerà eventualmente la violazione — pubblicamente, o privatamente alle piattaforme che hanno ricevuto il tracciamento — la verifica che quegli exchange dicevano mancare non sarà più un ostacolo. Se quella conferma arriverà mentre gli asset tracciati sono ancora fermi su exchange in grado di congelarli è la domanda aperta di questo caso.

Questo articolo è basato su una ricostruzione di CryptoBriefing, a cura di John Chen.