L’attacco a Binance: che cosa è successo, quali fondi sono stati bloccati e quali lezioni ne derivano

L’attacco è stato preparato per almeno 36 ore ed eseguito, una blockchain dopo l’altra, in meno di 4. Le analisi citate collocano i primi freeze da parte degli emittenti entro un’ora dai primi trasferimenti, ma i tempi variano in base a rete, asset e indirizzo. Il totale bloccato non mostra quanto fosse già stato trasferito o convertito prima che le restrizioni diventassero efficaci. Tutti gli orari sono in UTC.

Nell’aggiornamento del 30 ottobre Elliptic riporta 6,43 miliardi di USD rubati e 2,84 miliardi bloccati. Per i restanti 3,59 miliardi di USD, quindi, non risultava segnalato alcun freeze. È una fotografia dello stato dei freeze comunicati, non un inventario in tempo reale dei fondi detenuti dall’attaccante.

Che cosa potrebbe accadere ai fondi restanti?

In furti analoghi i fondi vengono suddivisi o riuniti, scambiati con altri asset, trasferiti attraverso bridge e instradati verso mixer o servizi di conversione e prelievo. Percorsi simili potrebbero emergere anche in questo caso nel corso delle indagini. Si tratta di possibili sviluppi, non di un’affermazione che ciascun percorso sia già stato utilizzato.

Chainalysis riferisce che una parte delle stablecoin rubate è stata rapidamente convertita in ETH prima che i freeze diventassero efficaci. Questo mostra la pressione a cui sono sottoposti i team di risposta: il tracciamento può continuare dopo uno scambio, ma le possibilità di fermare i fondi possono cambiare.

Il tracciamento è il punto di partenza; la possibilità di intervenire dipende dal tempo e dal coordinamento. I risultati delle indagini devono raggiungere l’exchange, l’emittente o il team investigativo in grado di intervenire mentre i fondi sono ancora raggiungibili. I freeze segnalati mostrano ciò che la cooperazione può ottenere; i fondi spostati in precedenza spiegano perché la risposta vada valutata anche alla luce di quanto è sfuggito all’intervento.

Prepararsi significa avere, prima dell’incidente, percorsi di escalation chiari, prove utilizzabili e relazioni tra giurisdizioni. Lo stesso accesso dovrebbe essere disponibile per le organizzazioni più piccole e i singoli danneggiati. Segnalazioni rapide e procedure transfrontaliere non dovrebbero dipendere da contatti privilegiati nel settore.

L’Europa ha bisogno di relazioni operative anche oltre i propri confini. Come abbiamo raccontato nella newsletter di ottobre, Roman Bieda ha partecipato per 4 giorni a un evento INTERPOL sulla criminalità informatica in Asia, al quale era presente anche Tether. Questi incontri collegano la base europea di Recoveris con investigatori, autorità e operatori del settore nei luoghi verso cui possono spostarsi gli asset rubati. Il valore pratico della cooperazione pubblico-privata consiste nel far arrivare le prove a chi può valutarle e intervenire.

Recoveris sostiene questo lavoro con indagini, preparazione delle prove e coordinamento insieme alle istituzioni e ai loro team legali. Un freeze preserva una possibilità di recupero; la restituzione degli asset richiede comunque i passaggi giuridici e operativi appropriati.

Recoveris aiuta exchange, banche e prestatori di servizi per asset virtuali (VASP) a tracciare i fondi rubati, preparare prove e coordinare richieste di freeze con le piattaforme competenti e le autorità investigative. Le azioni disponibili dipendono dagli asset, dai loro spostamenti e dalle organizzazioni che possono intervenire.