Cosa è successo questa settimana?
L'exchange Bitget ha confermato un incidente di sicurezza. Secondo BitHub.pl ha rilevato trasferimenti non autorizzati da una parte dei suoi hot wallet il 24 settembre 2026 alle 20:31 ora polacca, con un danno stimato intorno ai 350 milioni di dollari (BitHub.pl). L'amministratrice delegata Gracy Chen ha poi dichiarato che l'indagine preliminare ha mostrato indirizzi IP corrispondenti a una scelta di VPN associata al gruppo di hacker nordcoreano (Cointelegraph).
La seconda metà della storia è iniziata solo dopo il furto. Secondo Cointelegraph, THORChain non vuole (o non riesce) a bloccare gli indirizzi collegati all'hack, quantificato in questo testo in 387,5 milioni di dollari, e si apre così la questione se gli sviluppatori possano essere perseguiti per riciclaggio di denaro (Cointelegraph).
Abbiamo messo qui apposta tre numeri diversi: ~350 milioni, 352 milioni e 387,5 milioni di dollari. Non è un errore, ma la prima lezione. La stima del danno nelle prime ore e nei primi giorni cambia a seconda di chi calcola, in quale momento e quanti indirizzi ha già incluso nel calcolo.
Quale numero si è mosso per primo e cosa significa?
Non si è mosso per primo il prezzo né il titolo. Si è mosso il deflusso dagli hot wallet.
L'hot wallet di un exchange (l'indirizzo dal quale l'exchange gestisce i normali prelievi) è pubblico. Quando da esso cominciano a defluire fondi al di fuori dello schema abituale, è visibile sulla blockchain prima che chiunque riesca ad annunciare qualcosa. Nel caso di Bitget la differenza tra rilevamento e annuncio è letteralmente di minuti: l'orario di rilevamento, 24 settembre alle 20:31 ora polacca, è secondo BitHub.pl il momento in cui gli attaccanti sono stati individuati, mentre la comunicazione ufficiale è arrivata solo dopo (BitHub.pl).
Perché conta? Perché l'ordine dei numeri rivela la causa.
| Numero | Momento | Cosa dice | Fonte |
|---|---|---|---|
| Deflusso non autorizzato dagli hot wallet | 24/9/2026, 20:31 PL | Primo segnale osservabile che sta succedendo qualcosa | BitHub.pl |
| Stima del danno ~350 a 387,5 mln USD | ore o giorni dopo | Cambia man mano che aumentano gli indirizzi inclusi | BitHub.pl, Cointelegraph |
| Tracce IP verso il gruppo della RPDC | dopo l'indagine preliminare | Indizio sull'autore, non prova | Cointelegraph |
Il segnale on-chain (il deflusso) è un'osservazione dura. La stima del danno è un calcolo che matura. L'attribuzione (chi c'è dietro) è lo strato più morbido, perché un IP tramite VPN è un indizio, non una conferma.
Cosa portarsi a casa per la prossima volta?
Tre abitudini pratiche nella lettura dei dati, nessun consiglio di acquisto o vendita.
1. In un incidente di exchange osserva il deflusso, non il titolo. Gli indirizzi pubblici degli exchange sono osservabili in tempo reale. L'annuncio ufficiale arriva in ritardo e spesso ammorbidisce le formulazioni. Se vuoi sapere cosa è successo, guarda al movimento dei fondi, non al tono della dichiarazione.
2. Metti in conto che la prima quantificazione del danno cambierà. La differenza tra 350 e 387,5 milioni non è una contraddizione, ma la naturale evoluzione della stima. Prendi il primo numero come limite inferiore al tempo t, non come verdetto definitivo.
3. La resistenza alla censura ha due facce. Il fatto che THORChain non blocchi gli indirizzi è per alcuni una caratteristica (nessuno ti congela i fondi), per altri un problema (nessuno congela neanche i fondi rubati). La stessa proprietà tecnica ha due volti a seconda di quale lato della transazione ti trovi (Cointelegraph).
Per contesto di mercato: nella settimana in cui si discuteva di questo, il Bitcoin secondo Cointelegraph si manteneva vicino agli 84.000 dollari (Cointelegraph). Le nostre misurazioni mostravano BTC intorno agli 84 mila dollari (+0,9% in 24 h), regime NEUTRAL e Fear & Greed 74. In altre parole: un hack di questa portata non si è manifestato con alcuno scossone visibile del mercato più ampio. Questo di per sé è un'osservazione, non una causa.
Cosa ancora non sappiamo?
- L'esatto danno finale. I numeri nelle nostre fonti differiscono (~350 a 387,5 mln USD) e un totale definitivo non è noto.
- Chi ha eseguito l'attacco. Le tracce IP verso il gruppo della RPDC sono un indizio dell'indagine preliminare, non un'attribuzione provata (Cointelegraph).
- Se gli sviluppatori di THORChain saranno perseguiti. Secondo l'avvocato citato la situazione legale è incerta e una risposta al momento non esiste (Cointelegraph).
- Quanti fondi si riuscirà a recuperare. Al momento della stesura non è possibile quantificarlo in modo affidabile dalle fonti disponibili.
La lezione alla fine è semplice. Negli incidenti crypto la verità emerge a strati: prima il segnale duro on-chain, poi la stima che matura, infine l'attribuzione incerta. Chi non confonde questi strati legge il mercato con più precisione di chi aspetta il titolo.