Bitcoin e Litecoin rubati: clamorosa truffa social svuota hardware wallet per 282 milioni di dollari

Indice dei Contenuti:

Impatto e dinamiche del furto

$282 milioni in Bitcoin e Litecoin sono stati sottratti l’11 gennaio alle 23:00 UTC in uno dei maggiori colpi individuali del 2026. La vittima, un singolo detentore di crypto, è stata bersaglio di uno schema di social engineering legato a un hardware wallet. L’attacco ha innescato un’immediata operazione di riciclaggio su più exchange istantanei, con conversioni rapide in Monero (XMR) e operazioni di bridging multi-chain tramite Thorchain.

Le dimensioni del flusso in uscita hanno spinto al rialzo il prezzo di Monero, mentre l’aggressore distribuiva capitali per centinaia di milioni, sfruttando la natura privacy-focused dell’asset. In parallelo, porzioni di BTC sono state instradate su Ethereum, Ripple e Litecoin per frammentare le tracce contabili e complicare le analisi forensi. L’azione coordinata indica una preparazione avanzata e un playbook consolidato di evasione del tracciamento.

Secondo l’investigatore on-chain ZachXBT, il caso rientra in una campagna più ampia di svuotamento wallet avviata a inizio gennaio, con centinaia di indirizzi colpiti su catene EVM. Sebbene la maggioranza delle perdite individuali sia rimasta sotto i 2.000 dollari, l’evento da 282 milioni ha spostato l’ago della bilancia, segnalando un possibile rimbalzo dell’attività criminale rispetto a dicembre 2025, quando PeckShield conteggiava 76 milioni di exploit complessivi, in calo del 60% su base mensile.

FAQ

• Chi è la vittima del furto? Un singolo detentore di criptovalute, non identificato pubblicamente.
• Quali asset sono stati rubati? Principalmente Bitcoin e Litecoin, in parte convertiti in Monero.
• Quando è avvenuto l’attacco? L’11 gennaio, intorno alle 23:00 UTC.
• Come sono stati movimentati i fondi? Riciclaggio su exchange istantanei, conversione in XMR e bridging via Thorchain verso ETH, XRP e LTC.
• Perché è salito il prezzo di Monero? Per l’elevato volume di conversione in XMR effettuato dall’attaccante.
• Questo caso è isolato? No, fa parte di una campagna più ampia di wallet draining registrata a inizio gennaio.
• Fonte giornalistica citata? Analisi on-chain di ZachXBT e dati di PeckShield riportati nell’articolo di riferimento.

Tecniche di social engineering e vettori d’attacco

Il metodo esatto usato per compromettere l’hardware wallet non è stato chiarito, ma gli schemi più ricorrenti includono siti di phishing che inducono all’inserimento della seed phrase, finti canali di assistenza clienti che impersonano i produttori e falsi avvisi di aggiornamento firmware. Questi raggiri aggirano la sicurezza del dispositivo spingendo l’utente a consegnare volontariamente le credenziali, unico punto di fallimento realmente sfruttabile.

Gli attaccanti orchestrano campagne multi-touch: email spear-phishing, messaggi su Telegram/Discord, ticket di supporto falsi e pagine clone con domini omografi. Spesso predispongono funnel di fiducia con comunicazioni coerenti nel tempo, fino alla richiesta critica di verifica della frase segreta o di firma di transazioni “di diagnostica”. L’uso di interfacce contraffatte e di certificati TLS validi rafforza la credibilità del raggiro.

Tra i vettori operativi più osservati: richieste di importazione seed su “wallet di emergenza”, estensioni browser malevole che intercettano input, pacchetti firmware non ufficiali e script che sostituiscono indirizzi di ricezione. Le contromisure restano invarianti: non digitare mai la seed su siti o app, verificare canali ufficiali, convalidare firmware solo da portali dei produttori e usare liste di allowlist per indirizzi e domini critici.

Tracciamento dei fondi e risposta della comunità

L’analisi on-chain di ZachXBT ha seguito i flussi da Bitcoin e Litecoin verso exchange istantanei e poi in Monero (XMR), con picchi di volume che hanno deformato l’order book. Le rotte di offuscamento hanno incluso bridging via Thorchain e la distribuzione su Ethereum, Ripple e Litecoin, segmentando gli importi per complicare l’attribuzione. L’uso di asset a forte privacy ha ridotto rapidamente la visibilità investigativa, limitando i punti di intervento su catene pubbliche.

Sulle reti monitorate, gli indirizzi associati hanno mostrato pattern di “peel chain” e consolidamenti intermittenti prima delle conversioni in XMR, suggerendo automazione e playbook preconfigurati. Snodi intermedi su swap non custodial e aggregatori hanno frammentato ulteriormente il percorso, rendendo inefficaci i tentativi di blacklist tempestive da parte di alcuni servizi. La tempistica serrata post-furto ha azzerato i margini per freeze coordinati.

La comunità crypto ha reagito con segnalazioni incrociate tra ricercatori, exchange e team di sicurezza, mentre PeckShield e altri osservatori hanno mappato correlazioni con i wallet draining di inizio gennaio. Non risultano avvisi specifici dai produttori di hardware wallet, ma sono stati ribaditi i controlli su canali ufficiali e l’astensione dall’inserire seed phrase online. Gli exchange hanno intensificato i filtri di rischio su flussi legati a Thorchain e a conversioni massicce in XMR post-evento.

FAQ

• Chi ha tracciato i fondi? L’investigatore on-chain ZachXBT con validazioni da analisti indipendenti.
• Quali rotte sono state usate? Swap istantanei, bridging via Thorchain e conversione in Monero.
• Perché è difficile recuperare i fondi? L’uso di XMR e la frammentazione multi-chain riducono la tracciabilità.
• Qual è stata la risposta degli exchange? Adozione di filtri di rischio e monitoraggio rafforzato su indirizzi correlati.
• La comunità ha collegato altri casi? Sì, a una campagna di wallet draining emersa a inizio gennaio.
• I produttori di hardware wallet hanno emesso allerta? Non risultano avvisi specifici sullo schema attuale.
• Qual è la fonte giornalistica citata? Analisi pubbliche di ZachXBT e dati di PeckShield riportati nell’articolo di riferimento.