Rubare 1,5 miliardi di dollari in criptovalute è facile, incassare è la trappola

Gli hacker nordcoreani hanno rubato circa 1,5 miliardi di dollari da Bybit nel febbraio 2025. Sebbene l'hack stesso sia stato ampiamente coperto e analizzato, pochi si sono concentrati su ciò che è successo dopo e su cosa è diventato il denaro rubato.

Per muovere tutto quel denaro, gli hacker dovevano fare affidamento su un'intera rete di persone disposte a gestire beni rubati, creando una catena di relazioni che qualcuno disposto a spendere abbastanza denaro poteva infiltrare.

È ciò che ha fatto ZachXBT, un investigatore di blockchain pseudonimo. Ha impegnato 349.700 USDC e ha accettato una perdita del 5% su ogni ordine completato mentre si spacciava per un cliente di una rete di riciclaggio cinese.

Alla fine ha ottenuto informazioni che lo hanno aiutato a rintracciare oltre 12 milioni di dollari in fondi legati a Bybit e, secondo il suo racconto, ha contribuito al congelamento di 442.000 USDT da parte di Tether.

La sua indagine lo ha portato a una rete che crede abbia riciclato più di 1 miliardo di dollari da furti di criptovalute legati al gruppo Lazarus della Corea del Nord, inclusi i proventi dell'attacco a Bybit.

Le implicazioni delle sue indagini si estendono a un mercato molto più ampio per i servizi finanziari criminali che le autorità americane hanno cercato di interrompere negli ultimi due anni.

A settembre, il Tesoro degli Stati Uniti ha sanzionato Xinbi Guarantee, un mercato che ha affermato di aver elaborato oltre 24 miliardi di dollari in beni digitali e valuta fiat attraverso le sue piattaforme dal 2022, e ha esplicitamente identificato gli hacker nordcoreani tra gli attori illeciti che si sono serviti dei suoi servizi.

Il Tesoro ha anche riconosciuto che i criminali hanno cercato di preservare le loro operazioni spostandosi da Huione a Xinbi dopo che è stato sanzionato, dimostrando come la rimozione di un mercato non elimini le relazioni e la domanda che lo sostenevano in primo luogo.

Credeteci o no, hackerare un exchange e rubare fondi è in realtà la parte più facile di questo crimine. Convertire criptovalute rubate in fiat o in un'altra forma di potere d'acquisto reale è dove diventa difficile.

Per fare ciò, gli hacker si affidano a servizi di pagamento e ad altre relazioni poco chiare che consentono agli investigatori e ai regolatori di intervenire.

Il cliente da 349.700 dollari

L'FBI ha attribuito il furto di Bybit agli hacker nordcoreani il 26 febbraio 2025, identificando l'attività come TraderTraitor e avvertendo che i beni rubati venivano convertiti in Bitcoin e altre criptovalute prima di essere distribuiti su migliaia di indirizzi blockchain.

Sebbene ci sia voluto poco tempo per identificare gli hacker, identificare gli intermediari che gestivano il denaro rubato ha richiesto molto più lavoro investigativo.

Secondo ZachXBT, ha iniziato quel lavoro quando ha visto più di 15 account in gruppi pubblici di Telegram e Discord cercare aiuto con transazioni legate ai fondi rubati di Bybit, suggerendo che almeno parte del successivo processo di riciclaggio coinvolgeva intermediari che richiedevano o organizzavano servizi in modo aperto.

Ha contattato diversi di quegli account e alla fine ha sviluppato una relazione con qualcuno che usava l'alias di Telegram Jimmy Green, che si presentava come qualcuno che aveva bisogno di aiuto per spostare criptovalute tra reti.

Il 6 marzo 2025, ZachXBT afferma di aver finanziato un nuovo indirizzo Ethereum con 349.700 USDC e ha iniziato a scambiare il token legato al dollaro con USDT su Tron attraverso il contatto, accettando termini di cambio sfavorevoli mentre cercava di affermarsi come un cliente credibile.

I 349.700 USDC rappresentavano il capitale impegnato nelle transazioni piuttosto che una perdita netta investigativa dichiarata, mentre il 5% che afferma di aver perso su ogni ordine è il costo che era disposto ad accettare per accedere a informazioni che un'analisi blockchain ordinaria non poteva fornire.

L'accordo comportava anche il rischio che l'intermediario potesse semplicemente scomparire con i fondi.

Gli hacker dipendono da intermediari che potrebbero rubare a loro volta, e senza protezioni commerciali applicabili, la reputazione e la familiarità personale diventano particolarmente importanti per mantenere funzionanti quelle relazioni.

Questo ha dato a ZachXBT un modo per entrare nell'operazione, poiché un cliente disposto a effettuare transazioni ripetute è diventato più prezioso per la persona che forniva il servizio.

La relazione ha infine prodotto informazioni oltre agli indirizzi dei portafogli, comprese discussioni sui movimenti di fondi pianificati prima che le transazioni avvenissero, consentendo a ZachXBT di confrontare le dichiarazioni fatte privatamente con l'attività successivamente registrata sulle blockchain pubbliche.

In un caso, l'intermediario ha discusso di spostare fondi su Solana prima che il corrispondente movimento avvenisse, mentre altri scambi e connessioni di portafogli avrebbero aiutato a identificare un cluster più ampio di beni legati al furto di Bybit.

Questo è stato un punto di svolta importante nella sua indagine, poiché i dati on-chain non possono identificare la persona dietro la transazione o il suo intento. Conversazioni private su una transazione hanno fornito la prova chiave su chi la controllava e a cosa la utilizzava.

Anche se l'indagine di ZachXBT non corrisponde ancora completamente al record ufficiale dell'FBI, è comunque uno degli sforzi investigativi più significativi che abbiamo visto da un po'. Ha dimostrato che le relazioni personali e commerciali possono fornire prove che la blockchain da sola non può, e che tattiche simili potrebbero aiutare a indagare e infine risolvere altri furti.

Tracciare 12 milioni di dollari è diverso dal recuperarli

ZachXBT ha dichiarato che le informazioni dalla sua relazione con Jimmy Green hanno aiutato a identificare un cluster con oltre 12 milioni di dollari in fondi legati a Bybit, comprese transazioni attraverso diverse reti.

Ha anche riferito che Tether ha successivamente congelato 442.000 USDT legati all'hack nordcoreano. Questo ha dimostrato che identificare rapidamente i beni rubati, mentre rimangono accessibili tramite token controllati dall'emittente come USDT o USDC, può essere cruciale per recuperare i fondi.

I due importi non devono essere confusi: tracciare oltre 12 milioni di dollari non significa che l'intero importo sia stato congelato, e congelare 442.000 USDT non significa che i token siano stati sequestrati o restituiti a Bybit.

La cifra specifica di 442.000 USDT e la sua connessione con l'indagine di ZachXBT provengono dal suo resoconto, anche se Tether ha rivelato separatamente congelamenti più ampi legati al furto di Bybit.

C'è una considerevole distanza tra l'osservare criptovalute rubate, identificare le persone che le gestiscono e ottenere il controllo legale o tecnico sui proventi.

Le blockchain pubbliche non impediscono agli asset di muoversi di nuovo, specialmente quando passano attraverso servizi che rifiutano di cooperare con gli investigatori o operano al di fuori della portata delle autorità competenti.

Le stablecoin emesse centralmente creano un potenziale punto di intervento poiché i loro emittenti possono mantenere la capacità amministrativa di limitare i trasferimenti da indirizzi designati.

Il Bitcoin nativo non ha restrizioni equivalenti controllate dall'emittente, anche se le autorità possono comunque limitare gli asset detenuti da custodi o sequestrare le chiavi che li controllano quando ottengono l'accesso e l'autorità legale necessari.

Questo lascia gli investigatori dipendenti da più di una semplice accuratezza di tracciamento, poiché un saldo identificato deve anche rimanere alla portata di qualcuno che ha la capacità tecnica e l'autorità di agire.

Durante gli sforzi di recupero di Bybit, ordini del tribunale e cooperazione da parte di intermediari finanziari potrebbero limitare gli asset molto tempo dopo il furto iniziale, senza garantire un recupero completo.

Il problema è che la criptovaluta rubata può diventare sempre più frammentata mentre si sposta tra portafogli, catene, custodi e controparti commerciali, con ogni servizio aggiuntivo che potrebbe richiedere un'altra fonte di prova o un altro processo legale prima che la ricerca possa continuare.

Ecco perché gli investigatori possono vedere dove sono stati i fondi, ma non hanno modo di fermare la prossima transazione o recuperare i fondi.

4 miliardi di dollari in riciclaggio di criptovalute

L'uso di intermediari esterni non è limitato al furto di Bybit, e i registri delle forze dell'ordine americane mostrano una storia più lunga di tentativi di identificare aziende che convertono criptovalute rubate in beni che i criminali possono utilizzare.

Nel marzo 2020, il Dipartimento di Giustizia ha accusato due cittadini cinesi, Tian Yinyin e Li Jiadong, di aver riciclato oltre 100 milioni di dollari in criptovalute, principalmente attraverso attività collegate a hack di scambi.

Queste accuse dimostrano come gli individui che non eseguono l'hack possano comunque svolgere un ruolo essenziale nel crimine.

L'annuncio delle sanzioni del Tesoro ha anche rivelato che Tian ha convertito quasi 1,4 milioni di dollari in Bitcoin in carte regalo prepagate di Apple iTunes, dimostrando come il riciclaggio possa eventualmente coinvolgere strumenti di vendita al dettaglio ordinari piuttosto che i servizi finanziari più elaborati di solito associati al crimine informatico internazionale.

La stessa esigenza economica opera su scala molto più ampia attraverso mercati che collegano i criminali con i commercianti che offrono servizi di regolamento, scambio, pagamento e altri servizi.

Nel maggio 2025, la Rete di Prevenzione dei Crimini Finanziari del Tesoro ha identificato il gruppo Huione, con sede in Cambogia, come un'istituzione finanziaria di primaria preoccupazione per il riciclaggio di denaro, scoprendo che le sue operazioni avevano riciclato almeno 4 miliardi di dollari in proventi illeciti tra agosto 2021 e gennaio 2025.

Di tale importo, FinCEN ha identificato almeno 37 milioni di dollari in criptovalute derivanti da furti informatici nordcoreani, insieme ad altri proventi da frodi d'investimento e truffe informatiche.

La cifra di 4 miliardi di dollari riflette attività illecite in diverse categorie di crimine, e i 37 milioni rappresentano il componente minimo collegato alla Corea del Nord identificato nelle scoperte dell'agenzia.

La valutazione di FinCEN ha anche identificato gravi carenze nei controlli anti-riciclaggio e di verifica dei clienti all'interno del gruppo, compresa l'ammissione che controlli inadeguati avevano consentito a un componente di ricevere indirettamente fondi collegati a un furto nordcoreano.

L'importanza di queste scoperte si estende oltre qualsiasi singola transazione perché un intermediario che offre accesso ripetuto ai servizi di pagamento può diventare un'infrastruttura per più clienti criminali, riducendo la necessità per ogni organizzazione di costruire i propri accordi per convertire beni rubati.

Questo concentra l'attività attorno a imprese che possono diventare obiettivi per sanzioni, sequestri, restrizioni sui rapporti bancari e altre misure di enforcement.

Il mercato di Huione ha gestito un volume sostanziale di transazioni e servizi illeciti, e gli operatori hanno cercato di continuare a operare dopo che Telegram ha interrotto l'accesso a parti della rete.

Questi dati sulle transazioni di mercato e le stime più ristrette di FinCEN sui proventi illeciti identificati misurano diverse categorie di attività, rendendo fondamentale non trattare tutti i fondi che si muovono attraverso una piattaforma come proventi criminali provati.

I clienti si sono mossi

La difficoltà è che un mercato criminale può perdere infrastruttura senza perdere la domanda che rende i suoi servizi redditizi, in particolare quando gli utenti possono ancora contattare fornitori alternativi.

Nel giugno 2026, il Dipartimento di Giustizia ha annunciato il sequestro di un account di cloud computing che ospitava l'infrastruttura backend utilizzata dalle filiali del gruppo Huione presumibilmente coinvolte nel trasferimento di proventi da frodi, truffe informatiche e altre attività criminali.

L'azione è seguita a precedenti restrizioni statunitensi sul gruppo e ha preso di mira la tecnologia che supporta il trasferimento e la dissimulazione di fondi illeciti.

Rimuovere quell'infrastruttura non elimina automaticamente le relazioni tra i clienti e gli intermediari disposti a servirli.

Il Tesoro ha reso questa limitazione particolarmente esplicita il 9 settembre, quando ha sanzionato Xinbi Guarantee, descrivendo un mercato illecito che collegava organizzazioni criminali con commercianti che fornivano servizi finanziari, tecnologia e altre risorse necessarie per supportare le loro operazioni.

Secondo il Tesoro, Xinbi aveva elaborato l'equivalente di oltre 24 miliardi di dollari in asset digitali e valuta fiat da circa il 2022, con i suoi servizi che supportavano principalmente transazioni coinvolgenti mercati del sud-est asiatico.

La scala rende la piattaforma rilevante per gli sforzi di enforcement contro l'infrastruttura finanziaria più ampia che serve le organizzazioni criminali.

Il Tesoro ha anche dichiarato che i criminali informatici hanno tentato di preservare le loro operazioni migrando le attività dai servizi legati a Huione a Xinbi dopo l'azione precedente di FinCEN, con il nuovo mercato che offre servizi sostanzialmente simili a un gruppo sovrapposto di clienti.

Le agenzie hanno descritto un mercato commerciale in cui i partecipanti possono cercare un altro fornitore quando l'enforcement rende i loro precedenti accordi meno affidabili.

Durante la repressione di Huione, Telegram ha rimosso migliaia di canali associati a Huione Guarantee mentre i commercianti si spostavano verso mercati alternativi.

Questo è il motivo per cui il successo di una repressione non può essere misurato esclusivamente dal numero di siti web, account o server disattivati, poiché i clienti che hanno ancora bisogno di un servizio finanziario illecito possono cercare di ricostruire l'accesso attraverso fornitori che rimangono operativi.

La disruzione impone comunque costi, in particolare quando i saldi vengono congelati, i pagamenti falliscono o i controparti consolidate diventano indisponibili, ma l'incentivo economico a spostare fondi rubati continua finché il crimine sottostante rimane redditizio.

Il problema per le agenzie di enforcement è rendere quei servizi sempre più costosi e inaffidabili attraverso la rete di potenziali sostituti.

I congelamenti di Tether spingono le reti di riciclaggio di criptovalute verso altre opzioni di pagamento

L'azione di enforcement contro Xinbi mostra come le restrizioni finanziarie possano interrompere le operazioni criminali mentre spingono le aziende coinvolte a cambiare i loro accordi di pagamento.

Una serie di congelamenti di Tether ha limitato oltre 45 milioni di dollari in USDT attraverso almeno 22 portafogli associati alle operazioni di Xinbi.

Il mercato ha risposto dicendo agli utenti che si sarebbe spostato verso USDD, una struttura di stablecoin che non offre lo stesso meccanismo di congelamento degli indirizzi controllato dall'emittente come USDT.

Questo è stato un cambiamento importante perché la possibilità di congelare un token può essere preziosa per gli investigatori quando i proventi sospetti rimangono all'interno della portata amministrativa dell'emittente, mentre i clienti che cercano di evitare quelle restrizioni hanno un incentivo a spostarsi verso strumenti con controlli diversi.

La mossa mostra come le restrizioni su una parte del sistema di pagamento possano reindirizzare le transazioni verso un'altra, richiedendo agli investigatori di seguire sia gli asset che le aziende che forniscono accesso a essi.

Durante la repressione di settembre, le autorità hanno anche preso di mira l'infrastruttura legata a Xinbi e hanno bloccato oltre 52 milioni di dollari in criptovalute, mentre i prelievi acceleravano e i mercati concorrenti iniziavano a limitare i commercianti legati al riciclaggio.

Quegli sviluppi differiscono dal congelamento di 442.000 USDT attribuito da ZachXBT agli hacker nordcoreani, poiché la segnalazione pubblica non stabilisce che gli stessi indirizzi, partecipanti o fondi siano stati coinvolti.

Entrambi i casi mostrano che le operazioni criminali dipendono da intermediari finanziari i cui servizi possono creare opportunità di intervento anche dopo che il furto originale è completato.

Dove un emittente di token può congelare gli asset, l'esposizione rilevante può essere il saldo detenuto in un indirizzo identificabile. Dove un mercato serve più gruppi criminali, la sua vulnerabilità può estendersi all'infrastruttura, alle relazioni commerciali e agli accordi di regolamento che supportano quei clienti.

Entrambi i percorsi possono ridurre la capacità di muovere e utilizzare denaro rubato senza costi o rischi aggiuntivi.

Le persone dietro i trasferimenti sono più difficili da sostituire

L'indagine di ZachXBT ha avuto un impatto perché ha descritto come una relazione retribuita producesse informazioni sulle persone che organizzano le transazioni.

Gli intermediari criminali che gestiscono ripetutamente criptovalute rubate sviluppano una reputazione commerciale, stabiliscono controparti preferite e apprendono quali servizi possono completare le transazioni senza interferire con i proventi.

Queste relazioni possono rendere un'operazione più efficace nel tempo, specialmente quando i clienti devono trasferire grandi somme di denaro senza rivelare la propria identità o rischiare che una controparte trattenga gli asset.

Tuttavia, creano anche dipendenze che sono difficili da replicare rapidamente quando un fornitore consolidato scompare, specialmente se le alternative applicano commissioni più elevate, rifiutano fondi sospetti o si rivelano meno affidabili.

Queste dipendenze forniscono anche agli investigatori un'altra fonte di prove, poiché un fornitore di servizi può rivelare ciò che sa sulle transazioni future, altri partecipanti e l'infrastruttura di pagamento necessaria per completare un ordine.

Gli investigatori devono comunque testare le informazioni rispetto all'attività osservabile e ad altri registri, e il fatto che un indirizzo riceva fondi collegati a un furto non stabilisce l'intento o la conoscenza del destinatario.

Ma confrontare comunicazioni private con i successivi movimenti sulla blockchain può ridurre quell'incertezza in modi che il solo tracciamento delle transazioni non può fare.

Il record di applicazione più ampio sottolinea che rendere i servizi finanziari criminali meno attraenti richiede più che la semplice chiusura periodica dei loro siti web, poiché i clienti e gli incentivi commerciali che supportano quei servizi possono sopravvivere all'attrezzatura utilizzata per fornirli.

Sequestrare beni, limitare l'accesso finanziario, perseguire i fornitori di servizi e identificare le persone che controllano gli accordi di regolamento possono cambiare quel calcolo, anche se il punto in cui questi costi superano le entrate derivanti dal servire clienti illeciti varierà tra le imprese.

Questo è anche il motivo per cui il valore in dollari di un furto di criptovaluta non può essere automaticamente trattato come denaro convertito con successo in entrate spendibili per il governo responsabile, tanto meno come un importo verificato utilizzato per qualsiasi spesa militare o statale particolare.

Il furto originale, l'importo trasferito attraverso indirizzi intermedi, il valore convertito con successo in altre forme di potere d'acquisto e l'importo infine recuperato dalle autorità sono misure separate che richiedono prove separate.

Per gli hacker nordcoreani, fare affidamento sui servizi di riciclaggio aggiunge rischio dopo che l'intrusione iniziale ha avuto successo, poiché ottenere il controllo degli asset rubati non elimina la necessità che altri li accettino, scambino e, infine, li spendano.

L'infiltrazione riportata da ZachXBT mostra come quel requisito possa trasformare una relazione con il cliente in un'apertura investigativa, mentre le azioni degli Stati Uniti contro Huione e Xinbi dimostrano come le aziende circostanti possano diventare obiettivi di applicazione anche quando i clienti criminali tentano di migrare altrove.

La debolezza essenziale è che rubare criptovaluta e usarla nella pratica sono cose diverse, e la seconda dipende ancora da accordi commerciali i cui partecipanti hanno beni, reputazioni e interessi finanziari da proteggere.

Gli sforzi degli hacker nordcoreani per rendere quel denaro spendibile possono ancora riportarli in relazioni che richiedono fiducia, e le persone che la forniscono hanno qualcosa da perdere.