Il riciclaggio su Binance tramite THORChain mette gli swap permissionless sotto pressione dell'FBI

THORChain ha processato asset rubati a Binance nonostante gli appelli dell'FBI, rinnovando l'attenzione dopo il suo ruolo nel trasferimento di quasi 1 miliardo di dollari provenienti dal furto a Bybit del 2025. La controversia sul riciclaggio su Binance tramite THORChain ruota attorno a una distinzione ristretta ma rilevante: fermare un'intera rotta di trading è diverso dal bloccare uno specifico attaccante. Gli sviluppatori affermano che la rete non dispone di controlli selettivi sulle transazioni. Gli investigatori vogliono impedire che fondi rubati identificabili continuino a muoversi.

Il Wall Street Journal ha riferito che gli operatori di THORChain hanno guadagnato almeno 12 milioni di dollari da transazioni che coinvolgevano fondi rubati a Bybit, citando Chainalysis. La sua ultima indagine collega quella vicenda ai proventi di Binance transitati attraverso la stessa infrastruttura. Queste cifre descrivono flussi criminali segnalati e ricavi associati, piuttosto che dimostrare che ogni partecipante all'infrastruttura abbia consapevolmente assistito gli attaccanti.

Il conflitto immediato contrappone l'accesso permissionless, ossia la partecipazione senza l'approvazione di un operatore, agli sforzi per interrompere il movimento di asset rubati. Binance, gli investigatori e gli operatori dell'infrastruttura affrontano pressioni diverse all'interno di questo conflitto. La domanda centrale è pratica: quale intervento può supportare il sistema esistente, chi può autorizzarlo e chi ne assorbe le conseguenze?

Il riciclaggio su Binance tramite THORChain segue una rotta nota

L'indagine del Wall Street Journal, ripresa da Mint, descrive un altro incontro tra un grave furto ai danni di un exchange e un'infrastruttura progettata per l'accesso aperto. Secondo la sua indagine sui fondi rubati, THORChain ha processato oltre 46 milioni di dollari provenienti da Binance nell'arco di 72 ore. Chainalysis ha stimato che tali transazioni abbiano generato oltre 200.000 dollari in commissioni.

Questi importi richiedono un'interpretazione prudente. Rappresentano una prima finestra di rendicontazione, non una contabilizzazione completa dei trasferimenti successivi. Distinguono inoltre gli asset transitati attraverso il servizio dai ricavi generati da tale attività. Considerare il volume delle transazioni come profitto esagererebbe quanto ricevuto dai partecipanti all'infrastruttura.

Il cambiamento rilevante è il riutilizzo di una rotta di conversione nota dopo che gli investigatori avevano richiesto esplicitamente un intervento.

THORChain supporta swap cross-chain, ossia scambi tra asset registrati su blockchain diverse. Una blockchain è un registro condiviso delle transazioni mantenuto da una rete di computer. In questo caso, la funzione rilevante è convertire asset rubati in altre criptovalute senza aprire un conto presso un exchange convenzionale.

Questa funzione offre interoperabilità legittima. Presenta però anche agli investigatori un'ulteriore fase in cui gli asset rubati possono cambiare forma. Un asset in entrata e uno in uscita possono restare collegati tramite prove transazionali, anche quando appartengono a reti diverse.

Il precedente di Bybit rende più difficile trattare l'ultimo episodio come un caso limite inatteso. Il Journal ha riferito che quasi 1 miliardo di dollari provenienti da quel furto è transitato attraverso THORChain. La sua stima delle commissioni, attribuita a Chainalysis, descrive il beneficio economico associato a tali transazioni.

Questa storia solleva una questione di responsabilità senza risolvere ogni interrogativo legale o tecnico. Un sistema può processare attività dannose senza che ogni partecipante condivida lo scopo dell'attaccante. Ciononostante, l'uso ripetuto offre a operatori e sviluppatori ragioni più forti per spiegare con precisione i propri controlli.

Anche la cronologia conta. Le prime transazioni su Binance, la pubblicazione degli avvisi, le interruzioni temporanee e l'attività successiva appartengono a momenti diversi. Una cifra cumulativa delle transazioni, da sola, non può stabilire cosa sapesse ciascun partecipante quando si è verificato un determinato swap.

Per i lettori, la distinzione utile è quella tra il furto stesso e il successivo movimento dei suoi proventi. Il coinvolgimento di THORChain nelle conversioni non stabilisce responsabilità per la compromissione originaria. Rende però la risposta della rete parte della vicenda di recupero.

Le commissioni riportate rendono la questione più acuta, poiché il processamento continuato ha conseguenze economiche. Tuttavia, i ricavi associati a transazioni criminali dovrebbero restare chiaramente attribuiti e delimitati dalla metodologia della fonte. Non dovrebbero mai diventare una scorciatoia per un'accusa non supportata contro ogni persona che gestisce la rete.

La richiesta dell'FBI va oltre l'exchange

L'FBI ha attribuito il furto a Binance ad attività nordcoreane che definisce TraderTraitor. Il suo avviso pubblico colloca l'attacco intorno al 29 ottobre 2026 e descrive oltre 6 miliardi di dollari rubati. L'attribuzione rimane la valutazione dell'agenzia; la Corea del Nord ha negato il coinvolgimento.

La richiesta di blocco delle transazioni dell'agenzia include esplicitamente gli operatori THORNode, i partecipanti che eseguono il software di rete di THORChain. Si rivolge inoltre a servizi di exchange, provider di infrastruttura e società di analisi blockchain. La richiesta riguarda transazioni che coinvolgono indirizzi elencati e fondi derivati da essi.

Gli investigatori stanno facendo pressione sull'infrastruttura che trasferisce i proventi, oltre che sull'exchange che li ha originariamente persi.

Questa formulazione crea un problema operativo più complesso della verifica che il wallet di un cliente appaia in una lista. Un indirizzo è un identificatore usato per ricevere o inviare asset. I fondi possono spostarsi oltre un indirizzo inizialmente identificato mantenendo un collegamento con il furto.

Determinare tale collegamento richiede analisi. Un trasferimento diretto da un indirizzo identificato dell'attaccante pone una questione probatoria diversa rispetto ad asset transitati attraverso diversi intermediari. Una risposta credibile deve distinguere queste situazioni anziché trattare ogni associazione come ugualmente conclusiva.

La pressione su Binance riguarda il recupero, la fiducia dei clienti e la spiegazione della compromissione originaria. La pressione sui partecipanti di THORChain riguarda il processamento continuato e i controlli disponibili per interromperlo. Queste responsabilità si sovrappongono, ma non sono intercambiabili.

Per gli operatori dell'infrastruttura, la richiesta mette inoltre in discussione un presupposto familiare sui sistemi distribuiti. L'assenza di un reparto account convenzionale non impedisce agli investigatori di chiedere ad attori identificabili di agire. Stabilire se un determinato partecipante abbia la capacità tecnica o l'obbligo legale di conformarsi richiede una valutazione separata.

L'avviso pubblico non stabilisce di per sé che ogni destinatario abbia violato una legge. Né risolve la giurisdizione, l'intento, il controllo o la classificazione di ciascun servizio. Queste questioni richiedono prove su attori e condotte specifici.

L'ostacolo pratico è che gli investigatori cercano un risultato attraverso più sistemi con diverse capacità di intervento. Un exchange centralizzato controlla i propri account cliente. Una rete di swap distribuita coordina attività tra operatori che seguono regole software condivise.

Questa differenza influenza i tempi di risposta e i rimedi disponibili. Un exchange può esaminare una relazione con un cliente all'interno della propria organizzazione. Una modifica del protocollo può richiedere accordo, implementazione, test e adozione tra partecipanti indipendenti.

Tuttavia, descrivere il coordinamento come difficile non risolve se una misura più circoscritta sia praticabile. Gli investigatori possono ragionevolmente chiedere quali controlli esistano, con quale rapidità operino e cosa influenzino. Gli operatori possono ragionevolmente chiedere chiarezza sull'azione richiesta e sulle sue conseguenze.

La disputa sul riciclaggio su Binance tramite THORChain si estende dunque oltre una richiesta di cooperazione. Mette alla prova se cooperare significhi condividere prove, limitare l'accesso, sospendere il trading, modificare il software o una combinazione di queste misure. Tali azioni comportano costi diversi e dovrebbero essere valutate separatamente.

Un arresto della rete è diverso dal blocco di un indirizzo

La più forte difesa tecnica di THORChain riguarda l'ambito dei suoi controlli esistenti. In una discussione di ottobre, i contributori hanno affermato che il protocollo non dispone di un meccanismo per rifiutare selettivamente singoli wallet o transazioni. La loro posizione sulla censura delle transazioni ha inoltre difeso l'accesso senza approvazione basata sull'identità.

Questa posizione combina un'affermazione architetturale con una preferenza di policy. L'affermazione architetturale riguarda ciò che il software distribuito supporta attualmente. La preferenza di policy riguarda se gli operatori debbano introdurre restrizioni basate sull'identità. Le prove a sostegno della prima non risolvono automaticamente la seconda.

Una chiusura generalizzata può interrompere i fondi rubati imponendo la stessa interruzione agli utenti legittimi.

I controlli di arresto della rete di THORChain documentano diversi modi per sospendere le operazioni. Gli operatori possono interrompere il trading che coinvolge una blockchain, sospendere la firma in uscita o fermare attività più ampie. Questi controlli influenzano categorie di operazioni anziché funzionare come un filtro selettivo per l'indirizzo di un attaccante.

La firma consiste nell'autorizzare crittograficamente una transazione in uscita. Sospendere tale passaggio può lasciare i trasferimenti in attesa anziché completarli normalmente. Un arresto del trading influisce sulla prosecuzione degli swap, mentre un arresto più ampio della chain modifica anche il modo in cui il sistema osserva la rete connessa.

Queste distinzioni rendono incompleta l'affermazione secondo cui “può fermare i trasferimenti”. La domanda successiva è quali trasferimenti si fermino e cosa accada a tutti gli altri. Non si può presumere che un controllo che sospende un'intera rotta fornisca un intervento preciso contro un singolo criminale.

Si consideri un utente legittimo che scambia asset mentre un attaccante utilizza la stessa rotta. Una pausa sull'intera rotta influisce su entrambe le transazioni. Questa conseguenza non rende l'intervento intrinsecamente sbagliato, ma crea un costo che una restrizione selettiva eviterebbe.

Anche la scorciatoia opposta è incompleta. Affermare che il protocollo non possa inserire un indirizzo in blacklist non significa che sia privo di ogni forma di controllo operativo. I meccanismi di arresto esistenti dimostrano una capacità di interrompere l'attività in condizioni definite.

Il vero disaccordo riguarda quando tali meccanismi dovrebbero essere applicati. Proteggere la rete da un malfunzionamento interno ha un rapporto diretto con il mantenimento della sua operatività. Interrompere asset rubati altrove introduce questioni di prove esterne, autorità, ambito e durata.

I contributori di THORChain sostengono che giudizi morali basati sulle transazioni creerebbero potere discrezionale in un sistema progettato attorno a regole coerenti. Questa preoccupazione merita un esame sostanziale. Un meccanismo di intervento può influenzare utenti oltre il caso originario, soprattutto se i suoi criteri restano poco chiari.

I critici possono accettare queste preoccupazioni progettuali pur contestando la conseguente distribuzione del danno. Se i controlli generalizzati sono l'unica opzione disponibile, le vittime sopportano le conseguenze del mancato arresto dell'attività. Gli utenti legittimi subiscono conseguenze quando gli operatori sospendono la rotta.

Questo è il compromesso centrale dell'articolo. Precisione, velocità, disponibilità e resistenza al controllo discrezionale non si allineano automaticamente. Valutare la risposta richiede di indicare quale obiettivo abbia priorità e di identificare i costi che ne derivano.

Una proposta di modifica software richiederebbe un esame altrettanto concreto. I revisori dovrebbero capire chi fornisce le informazioni sugli indirizzi, come vengono corretti gli errori e se i partecipanti possono aggirare la restrizione. Annunciare l’intenzione di intervenire dimostrerebbe meno di una capacità operativa e verificata in modo indipendente.

Le conversioni possono ridurre le opzioni di congelamento senza cancellare le prove

La scelta degli asset di destinazione da parte degli attaccanti aiuta a spiegare perché la tempistica degli swap è importante. Le stablecoin sono token concepiti per seguire un asset di riferimento, spesso il dollaro statunitense. Alcuni emittenti di stablecoin mantengono controlli in grado di limitare i token associati a determinati indirizzi.

Bitcoin ed ether non dispongono di un meccanismo equivalente di congelamento degli indirizzi gestito dall’emittente. Passare a questi asset modifica i punti di intervento disponibili. Non elimina automaticamente la cronologia delle transazioni né garantisce che l’attaccante possa spendere liberamente i proventi.

La copertura di CoinDesk del 4 novembre ha descritto il riciclaggio cross-chain che ha coinvolto THORChain dopo la ripresa delle negoziazioni. Ha riferito di un’interruzione precedente, il 31 ottobre, causata da una riorganizzazione di blocchi Ethereum e da un errore nei rimborsi. Una riorganizzazione di blocchi sostituisce una parte della cronologia delle transazioni recentemente accettata da una blockchain.

Un’interruzione operativa può ritardare il riciclaggio senza trasformarsi in una politica deliberata di blocco degli asset rubati.

Quell’interruzione è rilevante perché mostra perché conta la causa di una sospensione. Un meccanismo di sicurezza che risponde a un problema di contabilità è diverso da una decisione di respingere proventi criminali. Osservare lo stesso effetto immediato non dimostra la stessa politica, autorità o risultato previsto.

È istruttivo anche il confronto con Tether e Circle. Questi emittenti di stablecoin occupano una posizione diversa da THORChain perché amministrano i propri token. La loro capacità di limitare tali token non si traduce nel controllo di ogni criptovaluta ricevuta in cambio.

Per gli investigatori, questo rende urgente agire intorno alla conversione. Un intervento disponibile prima di uno swap potrebbe non essere più disponibile dopo. Altre opportunità possono restare aperte, soprattutto quando gli asset incontrano in seguito un servizio in grado di identificare un cliente o limitare un conto.

La visibilità pubblica resta preziosa durante l’intero processo. Un trasferimento registrato può sostenere un’indagine anche quando la rete non può annullarlo. La capacità di ricostruire gli eventi e quella di recuperare beni sono capacità diverse.

L’evoluzione dell’analisi dei fondi Binance di Elliptic illustra questa distinzione. Il suo aggiornamento del 9 novembre ha descritto movimenti estesi, stimando al contempo che una quantità trascurabile fosse probabilmente stata convertita in denaro. Tale valutazione è una stima analitica, non un inventario completo di ogni eventuale beneficiario finale.

Convertire in denaro significa trasformare criptovalute in valuta convenzionale o realizzare altrimenti proventi spendibili attraverso un altro canale. Raggiungere un nuovo wallet non dimostra che quel passaggio sia avvenuto. Lo stesso vale per la conversione di una criptovaluta in un’altra.

Questa distinzione evita una conclusione semplice ma fuorviante: uno swap completato non significa necessariamente che gli investigatori abbiano perso definitivamente la traccia. Può ridurre le opzioni immediate di congelamento lasciando però prove che sostengono successive attività di identificazione, interruzione o recupero.

Viceversa, una traccia visibile non garantisce il recupero. Gli investigatori necessitano comunque di un punto di intervento pratico, di attribuzioni utilizzabili e della cooperazione, ove applicabile. La trasparenza fornisce prove; non fornisce il possesso degli asset.

Per gli sviluppatori che integrano gli swap nelle applicazioni, questa differenza ha implicazioni dirette sul prodotto. Una schermata della cronologia delle transazioni può mostrare ciò che è accaduto senza offrire un meccanismo di annullamento. Gli utenti necessitano di spiegazioni accurate di questo limite prima che un incidente li costringa a scoprirlo.

Lo stesso principio si applica alla messaggistica d’emergenza. Un’applicazione dovrebbe distinguere tra elaborazione ritardata, negoziazioni non disponibili, sospetta esposizione ad attività illecite e trasferimenti completati. Riunire queste condizioni sotto un messaggio generico di disservizio oscura informazioni necessarie agli utenti per valutare la propria situazione.

Le commissioni intensificano l’esame, ma non determinano la responsabilità

Le commissioni Bybit riportate spiegano perché questa controversia va oltre un argomento tecnico sulle capacità del software. L’uso criminale può generare ricavi all’interno di un’infrastruttura che serve anche clienti legittimi. Ciò crea una questione di incentivi anche quando l’elaborazione delle transazioni segue regole standardizzate.

Le entrate da commissioni sono una prova rilevante degli incentivi, ma non dimostrano autonomamente intenzionalità o responsabilità legale.

La stima del Journal basata su Chainalysis riguarda uno specifico evento storico e ambito contabile. Non dovrebbe essere combinata con leggerezza con precedenti istantanee dell’attività dell’intera rete. Il volume totale, gli asset rubati identificati, le commissioni e i proventi ricevuti da determinati partecipanti misurano elementi diversi.

Un attaccante può spostare lo stesso valore economico attraverso più transazioni. Sommare ogni trasferimento senza considerare le ripetizioni può sovrastimare gli asset sottostanti coinvolti. Allo stesso modo, i ricavi registrati durante un periodo intenso non possono essere automaticamente attribuiti interamente ad attività criminali.

Una valutazione attenta chiede cosa includa la stima. Misura addebiti del protocollo, compensi agli operatori dell’infrastruttura, ricavi dell’interfaccia o varie categorie? Queste distinzioni incidono sia sull’analisi economica sia sull’identificazione dei beneficiari.

Influiscono anche sui confronti nel tempo. Una breve finestra di osservazione può produrre un totale diverso da un’indagine retrospettiva successiva. Le differenze non dimostrano necessariamente che una delle due stime sia falsa, ma richiedono una spiegazione prima di trarre conclusioni su crescita o redditività.

La domanda scettica per THORChain riguarda l’ampiezza della sua affermazione di impossibilità. Una dichiarazione sull’assenza di controlli selettivi può essere tecnicamente più ristretta dell’impressione pubblica secondo cui l’intervento è del tutto impossibile. Gli attuali meccanismi di sospensione generalizzata rendono questa distinzione centrale.

La domanda scettica per i critici riguarda il rimedio proposto. Chiedere un intervento è più facile che specificare un controllo efficace e proporzionato. Una proposta credibile deve affrontare gli utenti innocenti, l’attribuzione errata, i ritardi operativi e la possibilità che i fondi si spostino altrove.

Nessuna delle due domande annulla l’altra. Un rimedio costoso non cancella il danno derivante dalla prosecuzione dell’elaborazione. Un danno grave non dimostra che ogni rimedio proposto funzionerebbe come previsto.

La questione più ampia è se la risposta del sistema corrisponda alle aspettative create attorno ad esso. Gli utenti possono apprezzare l’accesso aperto pur desiderando una spiegazione chiara dell’autorità d’emergenza. I partecipanti all’infrastruttura possono difendere una discrezionalità limitata riconoscendo al contempo le conseguenze di tale progettazione.

Per gli acquirenti aziendali, ciò diventa una questione di dipendenza. Un servizio costruito su swap di terze parti eredita l’esposizione operativa e reputazionale del percorso sottostante. Una decisione di integrazione dovrebbe considerare il comportamento del percorso sia durante guasti interni sia durante indagini penali esterne.

Gli sviluppatori affrontano un problema di documentazione correlato. Dichiarazioni quali “decentralizzato” o “non custodial” non descrivono completamente il comportamento in emergenza. Non custodial significa in generale che gli utenti evitano di affidare gli asset a un custode convenzionale di conti, ma i dettagli di implementazione determinano comunque le dipendenze operative.

Una documentazione utile specifica i confini del controllo. Identifica chi può sospendere le operazioni, quale attività viene sospesa, come avviene la ripresa e cosa gli utenti possono aspettarsi durante l’interruzione. Questi dettagli rendono valutabili le promesse architetturali.

Il caso del riciclaggio Binance tramite THORChain espone il costo di lasciare vaghi tali confini. Le vittime ricevono un rifiuto, gli sviluppatori descrivono una capacità mancante e gli operatori affrontano pressioni sui controlli con effetti più ampi. Spiegazioni precise non elimineranno il disaccordo, ma renderanno possibile affrontarlo.

Monitorare i controlli, le prove di recupero e le azioni formali di contrasto

I prossimi mesi dovrebbero essere valutati attraverso sviluppi osservabili, non dichiarazioni secondo cui abbiano prevalso la decentralizzazione o l’applicazione della legge. Contano soprattutto tre segnali: cambiamenti nei controlli, prove sugli asset recuperabili e azioni formali che identificano i partecipanti responsabili.

Le prove decisive riguarderanno ciò che i partecipanti modificano e ciò che gli investigatori recuperano.

In primo luogo, occorre osservare proposte concrete di THORChain o modifiche implementate che affrontino fondi illeciti identificati. Una discussione da sola dimostrerebbe meno di un’implementazione adottata. Le prove più solide spiegherebbero l’ambito del controllo e mostrerebbero come gli operatori lo utilizzano.

Una restrizione selettiva restringerebbe l’attuale argomento sulle capacità non disponibili. Il continuo ricorso a sospensioni generalizzate manterrebbe il compromesso tra intervento e disponibilità del servizio. Entrambi gli esiti dovrebbero essere valutati sulla base dell’implementazione effettiva, non delle descrizioni promozionali.

Le domande rilevanti includono chi autorizza le restrizioni e come i casi contestati vengono esaminati. Un elenco di indirizzi è solo un input. La sua origine, il processo di aggiornamento e il meccanismo di correzione determinano se il controllo risultante possa operare in modo prevedibile.

In secondo luogo, occorre monitorare valutazioni aggiornate di tracciamento e recupero. Gli analisti dovrebbero distinguere tra asset ancora associati agli attaccanti, asset limitati dagli emittenti, conversioni completate e proventi ritenuti giunti a canali di conversione in denaro. Queste categorie rispondono a domande diverse sui progressi dell’indagine.

Un saldo tracciato più elevato non significherebbe automaticamente che il recupero è migliorato. Un saldo visibile più basso non dimostrerebbe automaticamente il successo della conversione in denaro. Metodologia e incertezza contano quanto il totale nel titolo.

Le prove che proventi consistenti restano identificabili sosterrebbero il valore continuo dell’analisi pubblica delle transazioni. Un recupero verificato costituirebbe una prova più forte di intervento pratico. Le prove di conversioni in denaro completate intensificherebbero l’esame dei punti in cui era possibile agire prima.

In terzo luogo, occorre monitorare sviluppi formali di contrasto che nominino attori e condotte specifici. Gli appelli pubblici comunicano priorità, ma atti giudiziari o azioni ufficiali possono stabilire accuse più precise. Qualsiasi sviluppo di questo tipo dovrebbe essere valutato attraverso le sue affermazioni effettive e le prove a sostegno.

Una futura azione incentrata su un fornitore di interfaccia solleverebbe questioni diverse rispetto a una incentrata sugli operatori di rete. Le accuse riguardanti controllo, coordinamento o conoscenza richiederebbero una propria base probatoria. I lettori dovrebbero resistere alla tentazione di trattare ogni ruolo infrastrutturale come equivalente.

Questi segnali aiuteranno anche a valutare la solidità della posizione di THORChain. Una documentazione più chiara dei controlli rafforzerebbe la spiegazione tecnica. Un divario non spiegato tra capacità documentate e affermazioni pubbliche indebolirebbe la fiducia in tale spiegazione.

Per i lettori che seguono il riciclaggio di Binance tramite THORChain, mantenete l’indagine organizzata attorno alla distinzione tra movimento, controllo e recupero. Confrontate le conclusioni datate anziché riunire le istantanee in un unico totale indifferenziato. Chiedetevi se un intervento segnalato riguarda un wallet, una rotta di trading, un’interfaccia o l’intera rete. Per sviluppatori e acquirenti di servizi, esaminate il comportamento in emergenza di ogni dipendenza di swap prima del prossimo incidente. Identificate chi può agire, cosa interrompe la sua azione e come gli utenti ricevono aggiornamenti accurati. Seguite quindi i tre segnali concreti: controlli implementati, proventi recuperabili e applicazione formale della legge. Quali partecipanti possono dimostrare che le responsabilità dichiarate corrispondono ai controlli che effettivamente gestiscono?