Bitget ha perso 387,5 milioni di dollari in un attacco hacker avvenuto il 24 settembre 2026. Ora l’indagine sul furto Bitget rivela un dettaglio clamoroso: i sospetti riciclatori chiedevano aiuto pubblicamente nelle chat.

Punti chiave

• Bitget ha perso 387,5 milioni di dollari (dopo una stima iniziale di 351,6 milioni) nell’attacco del 24 settembre 2026.
• Gli attaccanti hanno violato il sistema interno di approvazione di Bitget, senza toccare le private key degli utenti.
• Il CEO Gracy Chen ha definito «molto probabile» il coinvolgimento della Corea del Nord.
• L’investigatore blockchain ZachXBT ha scoperto che i riciclatori, ritenuti cinesi, chiedevano aiuto pubblicamente su Discord e Telegram.
• THORChain ha rifiutato di bloccare i wallet legati agli attaccanti, aprendo un braccio di ferro con Bitget.

Il furto Bitget da 387,5 milioni di dollari e il sistema interno violato

L’attacco del 24 settembre ha sfruttato una falla nel sistema di approvazione interno di Bitget, non le chiavi private degli utenti. Gracy Chen ha spiegato che gli attaccanti hanno indotto il sistema a firmare trasferimenti non autorizzati.

La stima iniziale del danno, 351,6 milioni di dollari, è stata poi alzata a 387,5 milioni dopo che le indagini hanno individuato ulteriori transazioni in Zcash e TRON. I trasferimenti non autorizzati hanno coinvolto Ethereum e diverse reti EVM, la XRP Ledger, Zcash e TRON, con asset come XRP, ETH, USDT, ZEC, USDC, BNB, AVAX e TRX.

Bitget ha precisato che i cold wallet e il prodotto separato Bitget Wallet non sono stati toccati. Secondo Chen, la Corea del Nord è «very likely», molto probabilmente, dietro l’attacco.

I riciclatori scoperti mentre chiedono aiuto in chat pubbliche

L’indagine sul furto di Bitget si allarga quando ZachXBT scopre che i presunti riciclatori, un gruppo di cinesi che lavorerebbero per gli attaccanti nordcoreani, hanno postato apertamente nei server Discord e nei canali Telegram dei servizi usati per spostare i fondi.

L’investigatore ha individuato cinque account e ha collegato ciascuno a una transazione specifica, dimostrando che si lamentavano con lo staff di THORChain per swap XRP-Bitcoin non arrivati. Un utente, «Cc», ha scritto che erano entrati 277.724 XRP ma ne erano tornati solo 431.

Un altro sospetto, «jack», ha scritto che perdere gli asset «causerebbe molti problemi nella mia vita». Un moderatore del servizio di swap SwapKit ha risposto a una richiesta di supporto con una foto di Kim Jong Un.

Il filo che lega l’attacco a Kelp DAO e al gruppo TraderTraitor

L’indagine sul furto Bitget individua un filo comune con un altro grande furto crypto. Un account, «lolo», risulta aver riciclato anche i proventi dell’exploit da 292 milioni di dollari subito da Kelp DAO ad aprile, e nelle chat ha confermato di usare lo pseudonimo «Marin» su Telegram.

«Ho osservato lo stesso schema dopo più exploit attribuiti a TraderTraitor, e ho seguito da vicino questi gruppi», ha scritto ZachXBT. TraderTraitor è il nome che l’FBI ha dato a un gruppo di hacker nordcoreani, ritenuto responsabile del furto da 308 milioni di dollari subito dall’exchange giapponese DMM Bitcoin nel 2024.

Come vengono ripuliti i fondi rubati, tra swap e mixer

I fondi rubati saltano da una blockchain all’altra attraverso i bridge e finiscono in mixer come Wasabi, un wallet che mescola le monete per nasconderne la provenienza. La società AMLBot ha già rintracciato circa 4 BTC legati alla violazione dentro un round CoinJoin di Wasabi, dopo un percorso che ha attraversato TRON, USDT0, Ethereum e THORChain prima di arrivare su Bitcoin.

Lo scontro tra Bitget e THORChain

Il 26 settembre Gracy Chen ha chiesto pubblicamente a THORChain di bloccare gli indirizzi legati all’attaccante, scrivendo: «I nostri indirizzi dell’attaccante sono pubblicamente elencati e attivamente tracciati. Chiediamo formalmente a THORChain di negare il servizio a questi indirizzi. La decentralizzazione è un principio di design, non uno scudo per facilitare fondi rubati noti. Il settore sta guardando».

THORChain ha respinto la richiesta, spiegando che il suo meccanismo di stop d’emergenza protegge il protocollo ma non offre un modo per congelare selettivamente singoli indirizzi. «Un halt della rete THORChain è un meccanismo di sicurezza d’emergenza pensato per proteggere il protocollo. Un halt non è un congelamento selettivo di fondi specifici o di uno swap individuale», ha scritto il protocollo.

GoPlus Security ha contestato il paragone di THORChain con Bitcoin ed Ethereum, sottolineando che i validator del protocollo controllano collettivamente vault tramite firme a soglia e possono attivare pause documentate, a differenza delle reti dove gli utenti custodiscono le proprie chiavi. THORChain aveva già dimostrato di poter fermare la rete durante un exploit da 10,7 milioni di dollari nel maggio 2026, sospendendo firme e trading su più chain.

Michael Perklin, dirigente della sicurezza crypto e sostenitore di THORChain, ha respinto il confronto di GoPlus, sostenendo che la firma a soglia non implica un’approvazione attiva delle singole transazioni. «In tutti e tre i casi non c’è una scelta attiva di firmare, solo una scelta attiva di spegnere la macchina», ha detto, paragonando i nodi THORChain ai miner Bitcoin o ai validator Ethereum.

La disputa richiama un precedente: durante l’hack Bybit del 2025 gli attaccanti usarono THORChain per convertire Ether rubato in Bitcoin, generando 2,91 miliardi di dollari di volume e circa 3 milioni di dollari di commissioni per il protocollo, episodio dopo il quale un core developer lasciò THORChain quando una proposta per bloccare le transazioni dell’attaccante non ottenne il supporto dei node operator.

Bitget riapre i prelievi e continua a tracciare i fondi

Bitget ha lanciato una bounty di recupero che offre un premio del 5% per le azioni che riescono a congelare fondi rubati e un altro 5% per gli asset effettivamente recuperati. Circle e Tether hanno già congelato circa 318.000 dollari in USDC e USDT legati all’incidente al 26 settembre.

Le società di cybersicurezza indipendenti Mandiant e SlowMist affiancano Bitget nell’indagine e nel tracciamento dei fondi. L’exchange ha intanto iniziato a riaprire i prelievi in fasi: Bitcoin dal 28 settembre, ETH dal 29, USDT dal 30, mentre gli altri token, i servizi fiat e peer-to-peer sono previsti dal 2 ottobre.

ZachXBT ha annunciato che pubblicherà altri dati sui gruppi coinvolti nelle prossime settimane. L’indagine sul furto Bitget resta quindi aperta, con THORChain sotto pressione per una decisione che l’intero settore osserva con attenzione.

FAQ

Come è avvenuto l’attacco a Bitget?

Gli attaccanti hanno sfruttato il sistema interno di approvazione di Bitget per autorizzare i trasferimenti di fondi, senza compromettere le private key degli utenti.

Chi si sospetta sia dietro l’attacco a Bitget?

Secondo il CEO di Bitget, Gracy Chen, la Corea del Nord è molto probabilmente dietro l’attacco.

Quali metodi di riciclaggio usano i sospetti?

Utilizzano cross-chain swap, inclusi scambi da XRP a Bitcoin, e mescolano le monete in wallet come Wasabi per nascondere il percorso dei fondi.

Perché THORChain ha rifiutato di bloccare i wallet legati agli hacker di Bitget?

THORChain ha dichiarato che i suoi meccanismi di halt d’emergenza proteggono il protocollo ma non offrono un sistema per congelare selettivamente singoli indirizzi.

Contenuto realizzato con l’assistenza dell’intelligenza artificiale e con revisione editoriale umana.