L’indagine si è concentrata sull’attività di riciclaggio seguita all’hack di Bybit del febbraio 2025, in cui furono sottratti circa 1,5 miliardi di dollari in criptovalute. Le autorità statunitensi hanno successivamente attribuito l’attacco alla Corea del Nord, mentre ZachXBT ha dichiarato che le informazioni ottenute dalla presunta rete di riciclaggio hanno contribuito a identificare oltre 12 milioni di dollari in fondi collegati a Bybit e al congelamento di 442.000 USDT.
ZachXBT ha reso pubblica l’operazione il 5 ottobre, dopo aver mantenuto riservati i dettagli mentre le informazioni venivano condivise con investigatori e forze dell’ordine. La sua affermazione secondo cui la rete avrebbe gestito oltre 1 miliardo di dollari attraverso molteplici exploit collegati al Lazarus Group si basa sulla sua indagine personale e non va considerata un accertamento giudiziario.
Come ha fatto ZachXBT a infiltrarsi nella presunta rete di riciclaggio?
ZachXBT ha raccontato di aver avviato le indagini dopo aver individuato oltre 15 account in gruppi pubblici su Telegram e Discord che chiedevano assistenza per transazioni legate ai fondi del furto Bybit. Alla fine ha iniziato a interagire con un operatore noto con lo pseudonimo “Jimmy Green”. Il 6 marzo 2025, ZachXBT ha finanziato un nuovo indirizzo Ethereum con 349.700 USDC ed ha effettuato transazioni con l’operatore fingendosi un cliente legittimo. Ha spiegato che ogni ordine gli costava circa il 5%, il che significa che l’operazione comportava l’accettazione di perdite finanziarie reali, senza alcuna certezza che la controparte avrebbe continuato a collaborare. Il tracciamento delle transazioni è diventato più utile quando le informazioni fornite privatamente hanno potuto essere confrontate con l’attività successiva sulla blockchain. ZachXBT ha riferito che un indirizzo di ricezione fornito da Jimmy è stato finanziato per le commissioni di transazione da un wallet riconducibile ai fondi dell’exploit Bybit, incluso nella blacklist pubblica di Bybit. Ha inoltre affermato che Jimmy aveva discusso piani per spostare gli asset rubati su Solana poco prima che apparissero onchain i corrispondenti trasferimenti. Tre indirizzi Solana successivamente condivisi dall’operatore hanno aiutato ZachXBT a identificare un cluster contenente oltre 12 milioni di dollari in fondi collegati a Bybit, in movimento tra Bitcoin, Ethereum, Solana e Tron.
Cosa significa per gli investitori
L’indagine evidenzia un limite della trasparenza della blockchain: gli investigatori riescono spesso a tracciare gli asset tra un indirizzo e l’altro, ma identificare le persone che coordinano questi movimenti può richiedere informazioni raccolte al di fuori della catena. Questa distinzione influisce sulla rapidità con cui exchange, emittenti di stablecoin e forze dell’ordine possono intervenire sui fondi rubati.
L’indagine ha portato realmente al congelamento di fondi?
ZachXBT ha dichiarato che Tether ha infine congelato 442.000 USDT collegati al cluster di wallet identificato durante l’operazione. Ha inoltre incrociato le informazioni fornite dall’operatore con 332.000 USDC precedentemente congelati, relativi ai fondi legati all’exploit di Poloniex. Gli importi sono modesti rispetto a 1,5 miliardi di dollari sottratti a Bybit, ma dimostrano come l’attribuzione possa trasformarsi da semplice tracciamento di wallet a un blocco concreto quando i fondi raggiungono asset o intermediari soggetti a controlli centralizzati. La sfida riguarda la scala del fenomeno. FinanceFeeds ha riportato ad agosto che Bybit aveva recuperato 48,4 milioni di dollari dall’attacco, mentre altri 30,5 milioni restavano congelati presso oltre 28 exchange e custodi. Nel complesso, ciò rappresentava solo circa il 5,3% del furto originario tra fondi recuperati e fondi preservati. FinanceFeeds ha inoltre riportato altri tentativi di tracciare i flussi collegati al Lazarus Group, incluse le precedenti accuse di ZachXBT nei confronti di Tokenlon per decine di milioni di dollari in fondi sospettati di provenienza nordcoreana.
Cosa significa per gli investitori
L’identificazione di un wallet non equivale al recupero degli asset che contiene. Il recupero dipende solitamente dal raggiungere un exchange, un emittente di stablecoin, un custode o un altro intermediario in grado di bloccare il movimento dei fondi prima che vengano nuovamente trasferiti tramite bridge, scambiati o dispersi.
Cosa ha rivelato la rete sul riciclaggio del Lazarus Group?
ZachXBT ha dichiarato che le conversazioni con Jimmy indicavano un’operazione strutturata, con molteplici partecipanti e ruoli distinti, piuttosto che un singolo individuo che muoveva asset in autonomia. L’operatore avrebbe descritto attività sia nella Cina continentale sia a Hong Kong, sostenendo che il suo team avesse gestito una parte consistente dei proventi del furto Bybit. Uno screenshot relativo a una transazione tramite bridge è stato associato da ZachXBT a un ordine THORChain creato pochi minuti dopo. Lo schema rientra in una più ampia strategia di riciclaggio in cui gli asset rubati vengono spostati rapidamente tra diverse blockchain e token, rendendo i congelamenti sempre più difficili man mano che i percorsi delle transazioni si moltiplicano. Un’altra transazione da 3 milioni di dollari discussa durante le conversazioni è stata ricondotta da ZachXBT a un hot wallet collegato a Huione Guarantee. Le autorità statunitensi hanno separatamente preso di mira la più ampia rete Huione per presunte attività di riciclaggio di denaro. FinanceFeeds ha riportato a giugno che il Dipartimento di Giustizia ha sequestrato l’infrastruttura backend utilizzata dalle controllate di Huione Group nell’ambito dell’Operazione Riptide.
Perché l’indagine è rilevante al di là del caso Bybit?
ZachXBT ha dichiarato di aver contribuito a facilitare il congelamento di oltre 75 milioni di dollari in asset collegati a incidenti riconducibili alla Corea del Nord dal 2022 a oggi. Si tratta di una stima personale, ma l’ultima indagine fornisce un esempio insolitamente dettagliato di come gli investigatori blockchain privati possano interagire con emittenti di stablecoin, exchange e forze dell’ordine. L’indagine mette inoltre in luce una debolezza strutturale nel recupero degli asset cripto. Le blockchain pubbliche forniscono registri delle transazioni in tempo reale, eppure le operazioni di riciclaggio possono sfruttare bridge cross-chain, exchange decentralizzati, intermediari OTC e canali di messaggistica privata più rapidamente di quanto gli investigatori riescano a ottenere i congelamenti.
Cosa significa per gli investitori
Per exchange e investitori, il parametro davvero importante dopo un grande attacco informatico non è semplicemente quanta criptovaluta resti tracciabile. Le misure più significative sono quanto sia stato effettivamente congelato, quanto sia stato restituito alle vittime e se gli investigatori riescano a identificare gli intermediari prima che gli asset rubati scompaiano in canali più difficili da recuperare.
#Adessonews seleziona nella rete articoli di particolare interesse.
Se vuoi leggere l’articolo completo clicca sul seguente link
