Binance, il furto genera commissioni. Il paradosso dei protocolli che non fermano i ladri

Il riciclaggio crypto dopo il furto a Binance non è soltanto una caccia a miliardi di dollari spariti tra migliaia di indirizzi digitali. È diventato un caso sul funzionamento della finanza decentralizzata: alcune infrastrutture continuano a elaborare operazioni riconducibili al bottino e riscuotono commissioni anche dopo l’appello dell’FBI a bloccarle. Il risultato è che, mentre le autorità cercano i ladri, i meccanismi ordinari del mercato continuano a fare il proprio mestiere. Compreso incassare.

A mettere a fuoco il problema è un’inchiesta del Wall Street Journal firmata da Sam Kessler e Dylan Tokar il 7 novembre 2026. Secondo i dati di Chainalysis citati dal quotidiano, THORChain ha elaborato più di 46 milioni di dollari in fondi collegati all’attacco nelle prime 72 ore, con oltre 200.000 dollari di commissioni sulle transazioni degli hacker. Nello stesso intervallo, circa 4 milioni di dollari sono stati movimentati attraverso le funzioni di anonimizzazione associate a Wasabi Wallet.

Non significa che i creatori di quei servizi abbiano organizzato il furto, né che ogni transazione sulla piattaforma sia illecita. La domanda è più difficile: chi può intervenire quando un protocollo sostiene di non avere nessuno al comando? E soprattutto, chi decide se questa impossibilità sia un limite tecnico, una scelta di progetto o una comoda definizione del proprio ruolo?

Riciclaggio crypto: dal furto a Binance alla rete di wallet

Il punto di partenza è il 29 ottobre. Da Binance sono stati sottratti oltre 6 miliardi di dollari in attività digitali, in quello che le società di analisi on-chain descrivono come il più grande furto di criptovalute registrato. Il 31 ottobre l’FBI ha attribuito l’operazione a TraderTraitor, gruppo di hacker collegato alla Corea del Nord, e ha diffuso indirizzi di portafogli coinvolti chiedendo agli operatori del settore di impedire movimenti successivi.

La richiesta statunitense non si rivolgeva soltanto agli exchange tradizionali. Comprendeva espressamente anche nodi THORChain, operatori RPC, servizi DeFi e piattaforme di scambio immediato. In sostanza, le autorità hanno cercato di mobilitare i punti di passaggio attraverso i quali i fondi avrebbero potuto cambiare forma, rete o destinatario.

La scala del problema è documentata da Elliptic, che nell’aggiornamento del 7 novembre ha ricostruito oltre 20.000 wallet, 16 blockchain, almeno 36 servizi e 65.000 transazioni coinvolti nelle operazioni successive al furto. Molte movimentazioni mostrano schemi automatizzati. Questo, però, non prova che a decidere i passaggi fosse un agente di intelligenza artificiale: una sequenza automatica e un sistema AI autonomo non sono la stessa cosa.

THORChain, il ponte tra blockchain che continua a incassare

THORChain consente di scambiare asset tra reti differenti senza passare necessariamente attraverso il conto di un exchange centralizzato. È utile a chi vuole muovere legittimamente criptovalute senza affidarsi a un unico intermediario; la stessa caratteristica può risultare interessante per chi deve disperdere fondi sottratti. Il valore delle operazioni collegate all’attacco non va confuso con una somma già trasformata in denaro contante: passare da un token a un altro non equivale a incassare il bottino.

Secondo i dati riportati dal Wall Street Journal, l’infrastruttura ha gestito più di 46 milioni di dollari nei primi tre giorni, generando commissioni per gli operatori della rete. Il caso mette così insieme due piani che spesso vengono tenuti separati: la neutralità del protocollo e gli incentivi economici di chi ne sostiene il funzionamento. Se ogni trasferimento remunera un’infrastruttura, anche quelli identificati come sospetti producono un flusso di valore.

Un cofondatore di THORChain, Chad Barraford, aveva sostenuto in un intervento pubblico citato dal giornale che il protocollo non dispone degli strumenti per censurare singoli indirizzi o transazioni. L’altro cofondatore, John-Paul Thorbjornsen, ha dichiarato al quotidiano di non svolgere più un ruolo operativo e ha contestato l’idea di una gestione accentrata, richiamando una rete di 111 nodi. Le contestazioni giudiziarie sul controllo di un diverso prodotto di prestito collegato ai fondatori restano allegazioni contestate, non la prova che THORChain possieda oggi un interruttore universale.

Wasabi Wallet e il confine tra privacy e opacità

Il secondo nome emerso è Wasabi Wallet, portafoglio bitcoin noto per strumenti che possono rendere meno immediata l’associazione tra indirizzi e movimenti dei fondi. Queste tecniche hanno anche impieghi legittimi: pubblicare ogni spesa e ogni saldo in modo facilmente riconducibile a una persona solleva problemi reali di riservatezza. La privacy finanziaria, da sola, non è indizio di un reato.

Il problema cambia quando lo stesso meccanismo entra nella ricostruzione di un furto. L’inchiesta del Wall Street Journal riporta circa 4 milioni di dollari transitati nelle funzioni di mixing durante la finestra iniziale considerata. Elliptic, in un aggiornamento successivo e con un perimetro di osservazione diverso, descrive movimenti ulteriori attraverso coinjoin e servizi di privacy. Le cifre non vanno sommate automaticamente: periodi e metodi di conteggio non coincidono.

Il quotidiano osserva inoltre che un singolo coordinatore pseudonimo gestirebbe gran parte delle operazioni di coordinamento di Wasabi. È un elemento rilevante per la discussione su quanto sia distribuito, in pratica, il controllo di un servizio. Non dimostra però che quel coordinatore abbia esaminato o approvato consapevolmente le transazioni collegate al furto.

La differenza fra poter congelare una stablecoin e fermare bitcoin

Non tutte le criptovalute si prestano allo stesso tipo di intervento. Gli emittenti di stablecoin possono, in determinati casi, congelare token associati a indirizzi individuati. Bitcoin ed ether non hanno un emittente con un analogo potere generalizzato di blocco. Per questo, dopo un attacco, convertire rapidamente alcune attività in altre diventa anche una corsa contro il tempo delle misure di contenimento.

Nel caso Binance, circa 2,8 miliardi di dollari risultavano congelati secondo le analisi disponibili nei giorni successivi. Ma Elliptic, al 7 novembre, stimava ancora circa 3,13 miliardi in indirizzi collegati al furto, soprattutto in bitcoin ed ether. Si tratta di valori riferiti a momenti e criteri di rilevazione specifici, soggetti a variazioni di prezzo e ulteriori transazioni. Secondo la società, solo una quota trascurabile sarebbe stata effettivamente convertita in denaro spendibile fuori dal circuito crypto.

Questo è il punto da non perdere nei titoli: riciclare, spostare, scambiare e monetizzare non sono sinonimi. Il trasferimento attraverso decine di indirizzi rende il tracciamento più laborioso, ma non significa automaticamente che le autorità abbiano perso ogni possibilità di seguire o bloccare i fondi. Il nostro precedente dossier sul furto a Binance ricostruisce l’attacco e il ruolo dei congelamenti; l’approfondimento sulle stablecoin chiarisce perché alcuni emittenti possano intervenire sui token in circolazione.

La domanda vera per la DeFi: chi controlla l’accesso?

I difensori dei protocolli senza permesso temono che un potere di blocco selettivo finisca per trasformarsi in uno strumento di censura finanziaria. È un’obiezione concreta: un sistema che può fermare un indirizzo criminale può, almeno in linea di principio, essere sollecitato a fermarne altri per ragioni discutibili. Chi contesta l’assenza di filtri risponde invece che non si può invocare la decentralizzazione per sottrarsi a ogni responsabilità, soprattutto quando le operazioni producono commissioni.

Fra queste posizioni c’è un terreno meno spettacolare ma più utile: verificare quali decisioni siano effettivamente modificabili, chi possa modificare il software, chi gestisca i nodi, quali controlli tecnici siano disponibili e chi percepisca i ricavi. Non basta dire che una rete è decentralizzata; bisogna capire come sono distribuiti diritti, incentivi e responsabilità. Senza confondere il semplice uso di un protocollo da parte di criminali con una responsabilità penale già dimostrata dei suoi sviluppatori.

Il furto a Binance ha riportato in primo piano il potere di bloccare il denaro. La vicenda del suo riciclaggio mostra il rovescio della medaglia: il potere di non bloccarlo, o di dichiarare che nessuno potrebbe farlo. In entrambi i casi esiste un’infrastruttura, qualcuno la mantiene e qualcuno ne trae un vantaggio. L’industria che prometteva di eliminare gli intermediari si trova così davanti a una domanda piuttosto tradizionale: quando passa il denaro dei ladri, chi paga il pedaggio e chi lo riscuote?