727 FinanceAnalizzando il caso Bybit, come gli hacker hanno convertito 500.000 ETH in BTC in 10 giorni, rivelando l'intero processo di riciclaggio cross-chain e di cash-out OTC sotterraneo. La pressione di vendita su ETH era concentrata, l'impatto su BTC è stato limitato e gli hacker non sono stati la causa principale del forte calo.
Autore: SoSoValue Research
La sera del 29 ottobre, Binance ha subito quello che si sospetta essere il più grande attacco hacker della storia. Chainalysis stima l'importo rubato in circa 5,9 miliardi di dollari, e l'investigatore on-chain ZachXBT ritiene che sia stato molto probabilmente perpetrato dal Lazarus della Corea del Nord.
Molti si chiedono: come gestiranno gli hacker queste monete? Le venderanno in massa? Per rispondere a questa domanda, il miglior riferimento è il caso Bybit portato a termine dallo stesso gruppo nel febbraio 2025.
I. Riepilogo del caso Bybit: 500.000 ETH, tutti convertiti in BTC entro 10 giorni
Il 21 febbraio 2025, circa 500.000 ETH sono stati rubati da Bybit, per un valore di circa 1,4 miliardi di dollari all'epoca, rendendolo il più grande furto di criptovalute della storia fino a quel momento.
Gli hacker si sono mossi molto rapidamente:
● Giorno 1: hanno prima convertito derivati di staking come stETH e mETH in ETH nativo, poi lo hanno suddiviso su un gran numero di indirizzi.
● Giorno 5: almeno 160.000 ETH erano già stati trasferiti cross-chain tramite THORChain.
● Giorno 9: altri 62.200 ETH sono stati trasferiti in un solo giorno, portando il totale cumulativo a circa 343.000 ETH movimentati.
● Giorni 10–12: Arkham ha confermato che circa 500.000 ETH erano stati tutti trasferiti da Ethereum a BTC nativo tramite bridge.
Quali canali sono stati utilizzati?
● THORChain (protocollo cross-chain decentralizzato): circa 72%, 361.000 ETH
● eXch (piattaforma di scambio senza KYC): circa 16%, 79.700 ETH
● OKX Web3 Wallet: circa 8%, 40.000 ETH
THORChain ha così guadagnato circa 5,5 milioni di dollari in commissioni, attirando forti critiche dalla comunità. eXch ha poi annunciato la sua chiusura il 1° maggio 2025.
Quanto potrebbe essere recuperato in definitiva? Due mesi dopo, il CEO di Bybit ha pubblicato cifre che mostrano che il 68,6% rimaneva tracciabile, il 27,6% era "svanito" e solo il 3,8% era stato congelato.
Conclusione: quasi tutto l'ETH rubato è stato convertito in BTC, e meno del 4% è stato effettivamente recuperato.
II. Perché gli hacker devono convertire in BTC?
1. Nessuno può congelarlo
2. USDT e USDC hanno emittenti che possono inserire indirizzi nella blacklist in qualsiasi momento. In questo incidente di Binance, Tether e Circle hanno rapidamente congelato circa 2,4 miliardi di dollari in stablecoin. ETH stesso non può essere congelato, ma i DEX, i protocolli di lending e i bridge cross-chain nell'ecosistema Ethereum possono tutti bloccarlo. Sulla catena Bitcoin non esistono tali "checkpoint".
3. Liquidità più profonda e massima accettazione
4. Qualsiasi dealer fuori scambio in qualsiasi parte del mondo accetta BTC. MIT Technology Review ha sottolineato già nel 2020 che gli hacker tendono in definitiva a tornare al Bitcoin perché nessun'altra moneta è così ampiamente accettata o così facile da convertire in contanti.
5. Adatto per la conservazione a lungo termine
6. Lazarus è un'organizzazione di hacker a livello statale e non ha fretta di usare il denaro. I BTC possono essere detenuti per mesi o addirittura anni, aspettando che le acque si calmino prima di incassare in lotti.
III. Dopo la conversione in BTC, come viene incassato?
La risposta è: incassato tramite dealer OTC (over-the-counter) sotterranei.Il Dipartimento del Tesoro degli Stati Uniti sottolinea che la Corea del Nord utilizza tipicamente intermediari fuori borsa per convertire le criptovalute rubate in valuta tradizionale, e la maggior parte di questi intermediari si trova in Cina, eludendo la vigilanza delle istituzioni finanziarie e delle autorità di regolamentazione.
Il percorso generale:
ETH rubati → trasferiti tramite bridge in BTC → suddivisi e miscelati → spesso convertiti in USDT sulla rete Tron → intermediari clandestini → valuta fiat o beni in natura
Come fanno gli intermediari a "spezzare la catena"? Attraverso i "mirror trades".
Gli intermediari hanno contemporaneamente un altro gruppo di acquirenti che necessitano di criptovalute ma non si preoccupano della loro provenienza, come persone che cercano di trasferire fondi all'estero, piattaforme di gioco d'azzardo online e frodi, e commercio transfrontaliero del mercato grigio. L'intermediario vende le monete degli hacker a queste persone, poi consegna la valuta fiat locale pagata da queste persone alle persone designate dagli hacker. La tracciabilità on-chain termina presso l'intermediario, mentre il denaro off-chain proviene da parti completamente non correlate.
Dove finisce infine la valuta fiat? I casi pubblici includono:
● Conti bancari e carte UnionPay. Un rapporto del Multilateral Sanctions Monitoring Team (MSMT) ha indicato che le forze informatiche nordcoreane hanno utilizzato il sistema finanziario cinese, incluse carte di credito UnionPay e banche commerciali, per monetizzare le criptovalute rubate.
● Carte regalo. Due cittadini cinesi incriminati dal Dipartimento di Giustizia degli Stati Uniti nel 2020 sono stati accusati di aver convertito le monete nordcoreane in RMB o carte regalo Apple per monetizzarle.
● Piattaforme finanziarie grigie nel Sud-est asiatico, come il gruppo cambogiano Huione.
● Le regioni coinvolte includono Cina, Russia, Argentina, Cambogia, Vietnam, Emirati Arabi Uniti e altre.
IV. "Le BTC segnalate non possono entrare negli exchange?"
Questa è la domanda più comune. La risposta ha tre punti:
1. Le monete sporche non hanno affatto bisogno di entrare negli exchange conformi. Vengono vendute ad acquirenti nell'economia grigia, che utilizzano le monete per la circolazione e il regolamento continui e non le depositeranno su Binance o Coinbase.
2. La segnalazione non è un'etichetta permanente "bianco o nero" ma un punteggio di rischio. Dopo più livelli di relay, mixing e fusione con altri fondi, la tracciabilità passa da "certa" a "probabilistica". Questo è il motivo per cui il 27,6% dei fondi nel caso Bybit è "scomparso".
3. Gli intermediari coprono il rischio con commissioni elevate. Gli intermediari sanno che si tratta di denaro sporco e applicano commissioni ben superiori ai livelli normali. Wallet, carte bancarie e società di comodo vengono sostituiti dopo l'uso, e il rischio di sanzioni e congelamento è tutto prezzato.
Naturalmente, questo percorso ha anche dei costi: commissioni di mixing, commissioni cross-chain, sconti degli intermediari e porzioni congelate possono comportare perdite considerevoli. Ma per un paese sanzionato con quasi nessun'altra fonte di valuta estera, recuperare la metà è comunque un guadagno enorme. Il rapporto MSMT stima che la Corea del Nord abbia rubato circa 2,84 miliardi di dollari in criptovalute tra gennaio 2024 e settembre 2025.
V. Cosa significa questo per il mercato?● La pressione di vendita su ETH è concentrata nella fase iniziale. Il processo con cui gli hacker convertono ETH in BTC comporta vendite reali on-chain. Il caso Bybit ha richiesto circa 10 giorni e può servire da riferimento.
● La pressione di vendita su BTC è contenuta e dispersa. Dopo la conversione in BTC, l'incasso avviene principalmente tramite operazioni speculari fuori exchange e può durare mesi o persino anni, per lo più senza passare attraverso i book degli exchange, quindi l'impatto diretto sul prezzo è molto limitato.
● Gli hacker non sono la causa principale dei cali maggiori. Il giorno del furto Bybit, ETH è sceso di circa l'8%, e il successivo calo rilevante è derivato principalmente da fattori macro come i dazi e la liquidazione della leva finanziaria.
Cosa rende diverso questo incidente Binance? La maggior parte degli asset rubati erano stablecoin, già in gran parte congelate; gli ETH direttamente non congelabili ammontano a circa 195.000 monete, per un valore di circa 440 milioni di dollari, una scala inferiore rispetto al caso Bybit. Inoltre, gli hacker stanno utilizzando protocolli come Uniswap e Aave per convertire le stablecoin in ETH, quindi le loro disponibilità finali di ETH potrebbero aumentare.
Cosa vale la pena monitorare in seguito: le variazioni di traffico nei protocolli cross-chain come THORChain e Chainflip, che sono segnali diretti della velocità con cui gli hacker convertono ETH in BTC.
Questo articolo ha solo scopo informativo e non costituisce consulenza di investimento. L'incidente Binance è ancora in evoluzione e i dati pertinenti potrebbero essere aggiornati.