Un’azienda che vende a peso d’oro a polizia, servizi di intelligence ed exchange gli strumenti per acciuffare i criminali delle cripto non è riuscita a proteggere casa propria. Chainalysis lo ha ammesso ufficialmente: un aggressore esterno ha ottenuto un accesso non autorizzato ai suoi sistemi e strumenti interni, per poi sottrarre i dati degli utenti della piattaforma. L’ammissione è arrivata il 30 ottobre, proprio lo stesso giorno in cui la stessa Chainalysis, con l’aria di un oracolo onnisciente, ha indicato il colpevole della più grande rapina della storia delle cripto: secondo la sua versione, circa 6,4 miliardi di dollari sono stati portati via dai wallet di Binance dal gruppo nordcoreano TraderTraitor.
Appena si leggono i dettagli forniti dall’azienda stessa, la precisione da detective svanisce. Si dice soltanto che l’intrusione è stata notata «questo mese». L’aggressore si è portato via ID utente, nomi completi, indirizzi email di lavoro e ruoli all’interno delle organizzazioni, anche dei clienti che in questi giorni ricevono le poco allegre lettere di Chainalysis. Ad alcune vittime, secondo l’azienda, era già stato comunicato tutto in precedenza, in via riservata. Quanti record siano trapelati in totale e quali account siano stati svuotati, i massimi analisti del pianeta non l’hanno ancora calcolato: a ogni cliente promettono un resoconto individuale «al termine dell’analisi». Le falle da cui è entrato l’intruso vengono tappate in corsa proprio adesso.
Intanto nel rapporto pubblico c’è un vuoto vistoso al posto di tutte le domande principali: in che giorno esatto è stata scoperta l’intrusione, per quante settimane l’aggressore ha spadroneggiato nella rete, da quale vulnerabilità è entrato e di quali «strumenti interni» ha fatto in tempo a servirsi. Nemmeno un numero, nemmeno una data, nemmeno un fatto tecnico.
Chainalysis definisce in tono rassicurante i dati rubati «non sensibili». Suona carino, se si dimentica chi compra il suo software: i principali clienti della società sono forze dell’ordine, agenzie fiscali e di intelligence, exchange cripto e banche. Nomi completi, email di servizio e ruoli di investigatori in attività sui crimini cripto non sono una «quisquilia non sensibile», ma una rubrica d’oro pronta all’uso per phishing mirato e ricatti. Lo sa benissimo anche Chainalysis: nello stesso testo chiede con insistenza ai clienti di non fidarsi di email inattese per il reset della password, di notifiche push per confermare un accesso e di truffatori che telefonano a nome dei dipendenti dell’azienda.
La colpa è dell’IA, Binance non c’entra
Merita un capitolo a parte la spiegazione ufficiale del fallimento. Si apre con il classico «è successo a tutti»: Chainalysis, a quanto pare, è stata colpita «come molte altre piattaforme tecnologiche nelle ultime settimane», come dire che ormai bucano chiunque, non siate troppo severi. Poi entra in campo l’artiglieria pesante del marketing: la colpa è di un «aumento a livello di settore degli attacchi informatici guidati dall’IA» e di non meglio precisate «tecniche agentiche offensive». Quale agente, chi l’ha lanciato, come un’intelligenza artificiale abbia superato il perimetro di un’azienda specializzata in sicurezza: neanche mezza parola. In compenso promettono di curare la falla con la stessa polverina alla moda: per la verifica sono stati coinvolti consulenti esterni e «sofisticati modelli linguistici di grandi dimensioni». L’IA ha scassinato, l’IA farà la guardia.
Per due volte, nel suo breve testo, l’azienda sottolinea nervosamente che questa violazione non ha nulla a che vedere con il furto di miliardi a Binance. Ci crediamo volentieri. L’ironia sta altrove. Quando è stato ripulito l’exchange di qualcun altro, agli esperti di Chainalysis sono bastate otto ore per emettere una diagnosi precisa, con tanto di Stato indicato per nome: i prelievi sono iniziati il 29 ottobre alle 16:20 ora di New York, e già alle 00:30 al mondo veniva presentata la Corea del Nord. Ieri abbiamo analizzato nel dettaglio quanto sia comodo attribuire qualsiasi buco miliardario alle trame di Pyongyang. Ma è bastato che qualcuno si intrufolasse nei server della stessa Chainalysis perché la leggendaria vista dei detective si spegnesse di colpo: l’intruso non ha bandiera, né gruppo, né tracce, a parte la nebulosa parola «agentico».
Ancora più comico è il gioco di prestigio con le formulazioni sulle password. In apertura del comunicato l’azienda riferisce con disinvoltura di non aver trovato alcuna traccia di accesso a «credenziali di autenticazione». Ma un paio di paragrafi più sotto, nella lettera ai clienti, la formulazione dimagrisce in silenzio: si dice soltanto che l’aggressore non è arrivato alle password «in chiaro». Quindi gli hash delle password, si deve presumere, potrebbero benissimo essere finiti chissà dove, per non parlare della domanda sul perché un’azienda di cybersicurezza nel 2026 menzioni ancora le «password in chiaro» come categoria a sé. E il consiglio finale ai clienti, «attivare l’autenticazione a due fattori se la vostra organizzazione non l’ha ancora fatto», tradisce involontariamente un segreto di Pulcinella: su una piattaforma chiusa per forze dell’ordine e investigatori finanziari fino a oggi si poteva lavorare tranquillamente senza secondo fattore.
Di come la sicurezza vera venga sostituita da una vetrina di certificazioni e slogan accattivanti abbiamo già scritto nella nostra analisi su Vanta. Quella di Chainalysis è allestita secondo tutti i canoni del genere: «esperti di livello mondiale», «approccio che coinvolge tutta l’azienda», «rafforzamento della postura di sicurezza». Manca solo la risposta alle domande semplici: quanti record sono stati sottratti, per quanti giorni l’intruso è rimasto dentro e da quale porta è entrato. Alla fine dei conti il quadro è eloquente: una società che, seguendo la blockchain, in otto ore trova una pista nordcoreana nelle tasche altrui, sull’effrazione nella propria cucina sa dire soltanto che la colpa è di un’IA senza volto, che Binance di sicuro non c’entra e che sono trapelati appena nomi, email e ruoli di persone che per mestiere danno la caccia agli hacker.