Oltre 500 milioni mossi in pochi giorni: ecco come l'hacker di Binance sta ripulendo i fondi rubati (ma ha commesso un passo falso)

L’hacker di Binance, ormai identificato dall’FBI come appartenente al gruppo criminale nordcoreano Lazarus (più precisamente al cluster operativo TraderTraitor), si sta già mobilitando per riciclare gli ingenti proventi del furto. Secondo le prime ricostruzioni fornite da Chainalysis, il collettivo avrebbe già movimentato più di 500 milioni di dollari passando per svariati protocolli DeFi con protezione lato privacy.

Lazarus ha un master nel riciclaggio di denaro in criptovalute: in più occasioni, il gruppo gestito dai vertici di Pyongyang ha dimostrato di saper far perdere le tracce dei propri bottini illeciti, tramite tecniche molto particolari. Questa volta però la sfida sarà particolarmente ardua, vista la dimensione dell’hack e la conseguente difficoltà nel ripulire cifre così importanti in mercati non sempre sufficientemente liquidi.

Addirittura, per quello che possiamo vedere dai dati on-chain, Lazarus avrebbe anche commesso un errore abbastanza banale in una delle sue molteplici transazioni.

L’hacker di Binance inizia il riciclaggio: 500 milioni spostati su questa chain

Chainalysis, società di intelligence del mondo on-chain che lavora a stretto contatto con le autorità statunitensi, si è messa immediatamente al lavoro per ricostruire i flussi dei fondi rubati dall’hacker di Binance. Grazie allo strumento di tracking proprietario Reactor, gli analisti hanno scoperto il passaggio di circa 500 milioni di dollari in TRX0,3180 $▲ +2,39% su rete Tron.

Più nello specifico, Lazarus avrebbe inizialmente convertito circa 234 milioni di $USDT in 638 milioni di $TRX, prima che Tether mettesse i suoi indirizzi in blacklist, bloccando di fatto qualsiasi tipo di spesa della stablecoin. Successivamente, avrebbe iniziato a distribuire quei token tra più di 1.000 indirizzi differenti, attraverso oltre 3.000 trasferimenti.

Perché suddividere gli asset in così tanti indirizzi? Si tratta di una pratica comune nel mondo dell’hacking, in quanto così facendo si rende più difficile il tracciamento dei fondi nei passaggi successivi. Chainalysis ha anche evidenziato come lo stesso processo sia attualmente in corso tramite la rete Solana.

Dopo aver sparpagliato parte dei fondi sul network Tron, le stesse monete sono poi passate per strumenti con protezione lato opsec come Chainflip, Relay, THORChain e NEAR Intents, oltre che per diversi altri router cross-chain. L’obiettivo ultimo dell’hacker è quello di swappare i $TRX rubati in $BTC ed $ETH, distribuendoli in decine di fresh wallet dal valore di poche migliaia di dollari ciascuno.

A tal proposito, ieri l’FBI aveva invitato la DeFi a bloccare tutto, con un riferimento esplicito a THORChain, chiedendo agli operatori di nodi RPC di bloccare le transazioni del gruppo criminale. Evidentemente, l’appello (a ignoti) non ha funzionato.

Il modus operandi di Lazarus nel riciclaggio di criptovalute

Quanto messo in atto da Lazarus riprende esattamente il metodo con cui l’organizzazione nordcoreana ha già gestito altri furti nel settore crypto, tra cui l’hack ai danni di Bybit a febbraio 2025 e l’attacco al Ronin Bridge a marzo 2022.

Storicamente, infatti, il gruppo tende a muoversi a piccoli passi, cercando di distribuire i proventi degli hack su migliaia di indirizzi diversi, non prima però di aver rotto il collegamento diretto su blockchain attraverso vari mixer, router e protocolli orientati alla privacy.

Nel farlo, Lazarus predilige atterrare su chain come quella di Bitcoin ed Ethereum, dove gli attaccanti sono certi che la comunità non violerà il concetto di immutabilità delle transazioni per bloccare i loro movimenti.

Discorso diverso invece per chain minori e più centralizzate, dove c’è il rischio che un’azione coordinata di governance possa congelare gli asset coinvolti, come accaduto per esempio proprio pochi giorni fa su Arbitrum, dove il Security Council è intervenuto per bloccare 8.425 $ETH riconducibili all’hacker di Binance.

In realtà però, la macchina operativa di Lazarus dispone di una varietà di metodi con cui riciclare le criptovalute: in passato si era parlato di una pulizia tramite le memecoin, facendo figurare i fondi rubati come semplici proventi di trading speculativo. In altre occasioni avrebbe anche convertito i fondi su exchange no KYC, broker OTC e altri servizi di conversione, sempre però a piccole dosi, con l’obiettivo di frammentare il furto in account relativamente piccoli.

Quali saranno i prossimi passi di Lazarus?

Purtroppo non abbiamo contatti in Corea del Nord (come probabilmente nessun altro al mondo) e non possiamo sapere con certezza in che modo Lazarus ripulirà i restanti 3 miliardi di dollari che attualmente siedono su 819 indirizzi etichettati da Arkham Intelligence, al netto dei 2,6 miliardi di dollari in stablecoin ormai congelate dagli emittenti Tether e Circle.

Ci possiamo immaginare che il processo durerà molto a lungo, esattamente come avvenuto in altre occasioni in passato, proprio per rendere il lavoro di tracking più complesso agli occhi degli analisti.

Ciò non esclude comunque che il gruppo possa fare dei passi falsi in futuro, consentendo alle autorità o ai protocolli che collaborano con le istituzioni di intervenire e bloccare, almeno in parte, il bottino. Lazarus è infatti un’organizzazione tecnologicamente all’avanguardia, ma non è esente dal commettere errori umani, che sono poi quelli che hanno portato all’hack di Binance.

Pochi giorni fa, ad esempio, gli attaccanti avrebbero perso 5 milioni di dollari cercando di convertire i token $PROM rubati all’exchange, passando per una pool praticamente illiquida, riscuotendo appena 71 dollari dall’operazione.

In ogni caso, comunque, quei 5 milioni non torneranno a Binance ma ai MEV bot che hanno eseguito il sandwich attack, sfruttando lo swap sproporzionato rispetto alla liquidità disponibile sul mercato on-chain.