Ledger: 103 milioni di dollari di bottino tracciati attraverso Tornado Cash e Zcash

Segui la pista. L'attaccante che ha svuotato i portafogli dei clienti Ledger pensava probabilmente di essersi mescolato tra la folla. Tuttavia, gli investigatori on-chain lo seguono ancora, hop dopo hop. Oltre 100 milioni di dollari tracciati, 10 milioni congelati da Tether. Un motivo per riportare al centro del dibattito la responsabilità dei produttori di hardware wallet.

I punti chiave di questo articolo:

• Circa 103,4 milioni di dollari sarebbero stati drenati su 530 indirizzi e sette blockchain secondo YFarmX. I tre quarti del bottino sono in USDT su Tron.
• Tether ha congelato 10 milioni di USDT fin dal primo giorno. Il ladro elude il blacklisting convertendo la sua parte in USDD, poi in ether tramite THORChain.
• Il bottino passa attraverso Tornado Cash in sette onde, poi nel pool blindato di Zcash. YFarmX afferma di aver collegato ogni lotto in uscita grazie al fingerprinting delle transazioni.
• Ledger sostiene che i casi confermati riguardano dispositivi venduti dal rivenditore ufficiale CryptoBilis. Un impianto hardware non autorizzato è stato scoperto lì.

530 portafogli, sette blockchain e un impianto hardware

Infatti, è stato tramite un comunicato pubblicato domenica 11 ottobre su X che Ledger ha fatto il punto su una questione che la occupa da diversi giorni. Per ricordare, Bitquery stima il bottino a 93,2 milioni di dollari rubati su 315 portafogli distribuiti su sei blockchain. Da parte sua, la piattaforma di investigazione YFarmX avanza una cifra ancora più salata.

Nella sua indagine, aggiornata questo lunedì, essa contabilizza circa 103,4 milioni di dollari drenati su 530 indirizzi e sette blockchain. Così, i tre quarti dell'importo sono partiti in USDT su Tron. Di fatto, le due stime si basano su dati pubblici on-chain, e Ledger non ha confermato alcun totale.

Così, Tether ha blacklistato 37 indirizzi legati al furto già dal 9 ottobre, per 10 milioni di USDT oggi immobilizzati nei portafogli del ladro. Di fatto, il gigante degli stablecoin dispone di un potere che Bitcoin ed ether non offrono, quello di congelare i token legati alla criminalità. Ma il pirata aveva previsto la parata. Fin dal mattino del furto, ha convertito il suo USDT in USDD, lo stablecoin di Tron, tramite il modulo di stabilità che il blacklisting di Tether non tocca. Poi direzione THORChain, l'exchange cross-chain, per scambiare tutto contro ether.

Fin dal primo giorno, lo schema si ripete metodicamente, e porta un nome: Tornado Cash. YFarmX ha così contato sette onde di depositi su Tornado Cash, il mixer che rompe il legame visibile tra il portafoglio che deposita e quello che ritira. Dopo un passaggio nei pool di 100, 10 e 1 ETH, i fondi escono poi in portafogli nuovi, nell'ora.

Furto Ledger, giorno due. Da ieri il ladro ha spinto ether attraverso Tornado Cash tre volte, e ogni volta nel pool blindato di Zcash. Abbiamo seguito ogni lotto dall'altra parte. Ecco come, passo dopo passo.

1. LO STESSO BUILD, TRE VOLTE

Un portafoglio ether paga un fresco... pic.twitter.com/qouguFbPE0
--- YFarmX 🗞️ (@YFarmX) 10 ottobre 2026

Il passo successivo si gioca nei pool blindati di Zcash. L'emittente, l'importo e il destinatario di ogni transazione vi scompaiono. Tuttavia, è proprio qui che YFarmX rivendica il suo colpo. Concretamente, il suo strumento identifica le transazioni di prelievo stesse, la loro costruzione, il loro autore e il loro timestamp. Risultato annunciato: 108 prelievi su 108 collegati al loro lotto originale << al zatoshi più vicino >>, l'unità più fine del ZEC. Una volta usciti, i fondi alimentano infatti ordini di vendita ZEC contro USDC. Questi pagano due portafogli freschi creati, per 1,79 milioni di USDC non spesi al momento dell'indagine. YFarmX ha quindi interpellato Circle, ricordando che l'emittente dell'USDC può ancora congelare questa parte.

<< Non è un incidente CryptoBilis, è un incidente Ledger >>

Il produttore presenta la questione come circoscritta ai dispositivi venduti da CryptoBilis, un rivenditore del Sud-est asiatico elencato come autorizzato sul suo sito. Una situazione che peraltro è evoluta nel tempo, il rivenditore ha cambiato proprietario prima dei furti. Inoltre, Ledger ha confermato la scoperta di un impianto hardware non autorizzato in almeno un dispositivo coinvolto. Tuttavia, la società non dice come le macchine siano state restituite. Su X, le critiche piovono.

In pratica, il dibattito verte su una questione semplice: fino a dove arriva la responsabilità di un produttore quando un canale di vendita ufficiale funge da cavallo di Troia? Per ricordare, l'episodio non ha nulla a che fare con la campagna di phishing dello scorso aprile. Un'app falsa Ledger Live sull'App Store aveva allora costato 9,5 milioni di dollari a utenti che avevano inserito la loro seed phrase, all'epoca. Questa volta, tuttavia, l'attaccante è entrato in possesso delle chiavi stesse. Di che svuotare centinaia di portafogli senza il minimo errore da parte dei loro proprietari.

Secondo YFarmX, la parte più grande del bottino rimane oggi ether su Ethereum, che nessun emittente può congelare. Seguono poi i bitcoin in due portafogli collezionisti, poi l'USDT congelato da Tether. Circle, Binance, HitBTC e NEAR Intents possono quindi ancora intervenire su indirizzi identificati. Resta ora da vedere se Ledger si assumerà il conto, e se questi congelamenti apriranno mai la strada a restituzioni concrete.

Questo contenuto è fornito a solo scopo informativo generale e non costituisce consulenza finanziaria, di investimento, legale o fiscale. Qualsiasi evento, ricompensa, promozione online o informazione correlata menzionata nel presente documento non deve essere considerata una raccomandazione, una sollecitazione o un invito ad acquistare, vendere, fare trading o altrimenti negoziare criptovalute. Le criptovalute sono altamente volatili e possono comportare perdite. La disponibilità dei servizi, dei prodotti e degli eventi correlati di WEEX può variare a seconda della regione. È tua responsabilità assicurarti che la tua partecipazione sia conforme alle leggi e ai regolamenti locali applicabili.