Elliptic: circa 50 milioni di dollari in XRP rubati sono stati convertiti perlopiù in bitcoin

Le conversioni di XRP si aggiungono al bottino di bitcoin rubati

Secondo la società di analisi blockchain Elliptic, gli hacker collegati al furto ai danni di Binance hanno convertito circa 42 milioni di XRP, per un valore di circa 50 milioni di dollari, perlopiù in bitcoin tramite THORChain. L’aggiornamento della società, che copre le attività fino a venerdì, afferma che gli scambi hanno determinato gran parte dell’aumento notturno dei bitcoin derivati dagli asset rubati. Il saldo dei bitcoin convertiti ha raggiunto circa 1.650 BTC, per un valore approssimativo di 124 milioni di dollari.

La conversione degli XRP rappresenta solo una parte del totale sottratto. Elliptic ha individuato circa 192 milioni di XRP, per un valore di circa 226 milioni di dollari, ancora da convertire negli indirizzi collegati al furto. Gli XRP facevano parte degli asset sottratti durante l’incidente del 29 ottobre, che Binance ha successivamente valutato 6,34 miliardi di dollari. La differenza tra gli importi convertiti e quelli rimanenti indica che il trasferimento degli XRP è in corso, ma non permette di stabilire quanto verrà spostato in seguito.

I trasferimenti di XRP legati al furto sono iniziati in una breve finestra il 29 ottobre. Tra le 20:05 e le 20:09 UTC, cinque hot wallet di Binance hanno inviato 233,46 milioni di XRP a un indirizzo dell’aggressore, secondo quanto riportato nel rapporto. L’FBI ha attribuito la campagna più ampia al gruppo nordcoreano TraderTraitor. Binance ha riaperto i prelievi in più fasi e ha dichiarato di aver congelato o intercettato circa 2,85 miliardi di dollari, coprendo le perdite dei clienti con fondi propri.

Gli XRP rubati sono stati spostati in più fasi dopo alcuni giorni di quiete

Gli XRP rubati non sono confluiti subito nei servizi di conversione. Elliptic riferisce che, nelle prime ore del 2 novembre, tra le 02:12 e le 04:00 UTC, circa 233 milioni di XRP sono stati trasferiti in sei indirizzi appena creati. I fondi sono poi rimasti lì fino al 5 novembre. Questa pausa ha separato il trasferimento iniziale dai successivi scambi e mostra perché la cronologia del furto è importante: gli XRP sono stati spostati nell’arco di diversi giorni, non con un’unica transazione ininterrotta.

Dal pomeriggio del 5 novembre, due dei sei indirizzi hanno iniziato a distribuire XRP a decine di nuovi account. Questi account hanno poi scambiato i token, soprattutto tramite THORChain in cambio di bitcoin. Elliptic ha inoltre rilevato quella sera una piccola quantità di ether instradata attraverso THORChain e convertita in bitcoin. Questo schema colloca gli scambi di XRP in un più ampio tentativo di trasferire gli asset rubati tra diversi servizi e convertirli in forme differenti, anziché limitarsi a spostare i token originali da un wallet all’altro.

Non tutti i principali fondi hanno seguito questo percorso. Elliptic afferma che i maggiori quantitativi di bitcoin ed ether associati al furto non sono stati spostati, mentre sono state trasferite solo piccole porzioni delle principali riserve di ether e NEAR. Si distingue quindi tra gli asset già convertiti e consistenti fondi ancora fermi. Il rapporto non indica quando, né se, i saldi rimasti immobili saranno trasferiti; l’attuale attività legata agli XRP non può dunque essere considerata una tabella di marcia per il resto.

Una vasta traccia si estende tra wallet, blockchain e servizi

Elliptic ha contato oltre 20.000 wallet su 16 blockchain nella traccia del riciclaggio successiva al furto di Binance. La società ha inoltre individuato attività che coinvolgono almeno 36 servizi e almeno 65.000 transazioni. In altre parole, i suoi dati corrispondono a circa un nuovo wallet ogni 30 secondi e a una transazione ogni 10 secondi. La portata descrive una traccia frammentata e distribuita su più blockchain; non dimostra di per sé che ogni wallet o servizio corrisponda a un partecipante distinto.

Nonostante gli ingenti spostamenti, Elliptic stima che circa 3,11 miliardi di dollari restino in indirizzi collegati al furto, perlopiù sotto forma di ether e bitcoin. Secondo la società, finora è probabile che sia stata convertita in denaro solo una quantità trascurabile. La distinzione è importante: spostare asset tra wallet o scambiare un token con un altro non equivale a convertirli in denaro tradizionale. La traccia riportata mostra quindi una notevole attività di riciclaggio, ma prove limitate di conversioni effettive in denaro.

Secondo Elliptic, gli spostamenti riflettono anche le differenze nel modo in cui è possibile congelare gli asset. Gli emittenti possono congelare molte stablecoin, ma non possono congelare XRP allo stesso modo, né congelare bitcoin. Dopo che Tether e Circle hanno bloccato ingenti quantità di stablecoin il 29 ottobre, l’attaccante ha dato la priorità agli asset che non rientrano in questo meccanismo controllato dagli emittenti, stando al rapporto. La conversione di XRP in bitcoin segue la stessa logica, anche se la fonte non sostiene che il bitcoin diventi impossibile da tracciare o recuperare.

La prossima domanda è se il percorso di conversione proseguirà

L’attività attuale su XRP fa parte di una sequenza più ampia di conversioni. Elliptic afferma che tutti i SOL rubati, pari a circa 87 milioni di dollari secondo le sue valutazioni, sono stati scambiati, trasferiti tramite bridge o mescolati, e che gran parte è finita in bitcoin. È stato inoltre completato gran parte del riciclaggio iniziale di circa 220 milioni di dollari in TRX, mentre si sono spostate solo piccole porzioni dei principali fondi in ether e NEAR. Queste cifre mostrano fasi diverse per i vari gruppi di asset, non un unico percorso uniforme per tutti i fondi rubati.

Una parte dei fondi convertiti è confluita anche in servizi orientati alla privacy. Elliptic ha rilevato l’invio di circa 33 BTC, per un valore di circa 2,5 milioni di dollari, in coinjoin simili a quelli di Wasabi dal 1º novembre. Ha inoltre segnalato che circa 1,1 milioni di dollari in ether e SOL sono confluiti nel pool Privacy Cash prima che il servizio sospendesse i depositi. Si tratta di porzioni limitate rispetto alla traccia complessiva e il rapporto non dimostra che questi servizi abbiano ricevuto tutti gli asset convertiti né che i fondi siano stati effettivamente convertiti in denaro.

Elliptic interpreta la velocità e la regolarità dell’attività come automazione convenzionale, anziché come decisioni in tempo reale prese da un agente IA, citando tempistiche fisse, importi prestabiliti, tentativi ripetuti senza verifica e tattiche introdotte a distanza di ore. Non è chiaro cosa accadrà in seguito: la domanda fondamentale nel breve periodo è se verrà convertita un’altra parte dei circa 192 milioni di XRP e se gli ether attualmente fermi verranno trasferiti in seguito. Il rapporto lascia inoltre aperta la questione se gli operatori di THORChain e altri bridge riusciranno a continuare a bloccare abbastanza rapidamente gli indirizzi degli aggressori resi pubblici da interrompere il flusso.

Fonte: BitcoinMagazine