L'hacker di Bitget vende 350 milioni di dollari di Ethereum e acquista Bitcoin: perché lo sta facendo?

L’hacker di Bitget, associato con molta probabilità al gruppo criminale informatico della Corea del Nord, sta continuando il processo di pulizia dei fondi rubati dall’exchange la scorsa settimana. L’operazione coinvolge circa 350 milioni di dollari in Ethereum, che ora l’attaccante sta convertendo in Bitcoin, passando per un noto bridge cross-chain.

L’obiettivo dell’hacker è verosimilmente quello di far perdere le tracce degli asset rubati, attraverso il modus operandi tipico del gruppo Lazarus, che utilizza infrastrutture permissionless ed esenti da verifica KYC. Al momento la blockchain ci consente ancora di poter seguire il flusso del denaro, anche se d’ora in poi il tracking potrebbe iniziare a diventare più complesso

Nel frattempo, Bitget ha riaperto ufficialmente i prelievi, con il team che ha risolto la vulnerabilità che aveva consentito il furto. Il fondo di sicurezza dell’exchange può coprire tutte le perdite subite e gli asset degli utenti rimangono al sicuro.

Hacker Bitget: spostati 350 milioni di dollari da Ethereum a Bitcoin grazie a THORChain

Secondo quanto riportato da Lookonchain, l’hacker di Bitget avrebbe già iniziato quella che potrebbe diventare una lunga e lenta fase di riciclaggio di asset “sporchi”. I wallet riconducibili all’attacco stanno infatti trasferendo ingenti quantità di ETH2.675 $▼ -0,55% verso THORChain, dove gli asset sono stati convertiti in BTC, per una cifra che supera i 350 milioni di dollari, su un totale di 387 milioni di fondi rubati.

Il meccanismo è particolarmente interessante poiché la piattaforma THORChain consente di effettuare swap tra blockchain differenti – che solitamente non condividono lo stesso standard di token e lo stesso linguaggio di codice – senza dover passare per un exchange o una controparte centralizzata.

Va comunque osservato come passare da Ethereum a Bitcoin tramite THORChain non permetta all’hacker di diventare anonimo: i suoi indirizzi di destinazione sono visibili su blockchain e gli analisti possono ancora seguire il loro flusso. Ad ogni modo questa è solo una parte del processo di pulizia messo in atto da associazioni come Lazarus, che a settembre dello scorso anno aveva addirittura utilizzato il bridge per ripulire 1,2 milioni sottratti alla stessa THORChain.

Ora è probabile che i Bitcoin appena depositati vengano distribuiti su decine e decine di address differenti, per poi essere successivamente impiegati in una vasta gamma di mixer, protocolli P2P e altre soluzioni che frammenteranno ulteriormente gli asset, rendendo di conseguenza più complessa la ricostruzione dei fondi.

THORChain accusato di non aver bloccato le transazioni dell’hacker

Intanto, all’interno della crypto community si consuma la solita polemica che si verifica quando qualcuno muove fondi legati a un hack all’interno di un’infrastruttura come quella di THORChain. In particolare, molti utenti stanno accusando il team del bridge di non aver provveduto a stoppare la blockchain una volta che i fondi relativi al furto di Bitget sono transitati attraverso la sua infrastruttura.

THORChain risponde affermando di non poter freezare in modo arbitrario specifici fondi o mettere in blacklist determinati asset, solo perché riconducibili a una fonte di attività illecita, poiché il protocollo agisce secondo logiche neutrali e permissionless. Il team del progetto fa un parallelismo con un exploit dello scorso maggio, quando un malintenzionato aveva ottenuto in modo illegittimo 10,7 milioni di dollari dalle proprie liquidity pool, sostenendo di non aver “chiuso i rubinetti” neanche in quell’occasione.

In realtà, anche Bitcoin ed Ethereum agiscono secondo una logica simile, impedendo la censura di determinate transazioni anche in caso di attività chiaramente collegate a un hack. Ne è un esempio lampante quanto accaduto a febbraio dello scorso anno, quando in molti avevano chiesto di tornare indietro e cancellare l’hack di Bybit, senza che la richiesta avesse ottenuto il sostegno degli sviluppatori e dei validatori.

Tuttavia THORChain potrebbe comunque, in via teorica, sospendere le operazioni dei liquidity provider senza interrompere la possibilità di eseguire gli swap cross-chain, come accaduto, ad esempio, nell’incidente di settembre 2025 che aveva coinvolto il furto delle chiavi del fondatore del protocollo, JP Thor.

Buona notizia per Bitcoin?

C’è chi potrebbe interpretare questo swap da ETH a BTC come una buona notizia per Bitcoin, che prevede tecnicamente un aumento della domanda di acquisto per il maggiore crypto asset, dal valore di 350 milioni di dollari. Da un certo punto di vista la lettura è corretta, nonostante il mercato non abbia preso molto in considerazione questa dinamica.

Il grafico ETH/BTC non mostra particolari segni di rottura al ribasso, con Ether che evidenzia anzi una forza relativa non indifferente nell’ultimo periodo, grazie a un movimento positivo iniziato dopo il rally di fine agosto. Anche oggi la chart mostra una performance positiva, il che significa che gli investitori non stanno dando troppa importanza alla conversione messa in atto dall’hacker di Bitget.

Che ne sarà ora dei Bitcoin in mano all’attaccante? Seguiremo, per quanto possibile, come si muoveranno d’ora in poi le monete oggetto dello swap cross-chain. Sarà comunque una sfida molto complessa, visto che l’hacker ha già iniziato una profonda dispersione del bottino su diversi indirizzi on-chain.