😱 Il caso BITFINEX: 4 miliardi spariti nel nulla

Nel 2016, in un momento in cui molte persone stavano guadagnando con le criptovalute e altre osservavano il fenomeno da fuori, non riuscendo a capirlo o a fidarsi del tutto, succede una cosa che fa tremare le fondamenta di questo settore di investimento. Bitfinex, una delle piattaforme di acquisto e scambio di criptovalute più grandi al mondo, subisce un attacco devastante. In poche ore spariscono dai conti degli investitori quasi 120.000 Bitcoin, allora pari a oltre 70 milioni milioni di dollari. Gli investigatori inizialmente pensano che si tratti di un'organizzazione criminale su larga scala, magari finanziata da qualche governo straniero. Impossibile d'altronde che dietro un attacco così sofisticato ci sia un hacker solitario che opera dalla propria cameretta, giusto? Intanto sui social una coppia fa discutere le persone. Si tratta di un giovane imprenditore dagli occhi buoni e dai modi pacati, e di una influencer e aspirante rapper che pubblica quotidianamente video ai limiti del cringe. Mentre le indagini proseguono, il valore dei Bitcoin aumenta. Nel giro di 4 anni il valore dei Bitcoin rubati passa da 70 milioni di dollari a 4 miliardi. E tutte le piste portano a queste due persone che diventeranno note come i Bonnie e Clyde delle criptovalute. Ma per capire bene com'è andata dobbiamo partire dall'inizio. Ciao a tutti e benvenuti in questo nuovo video. Non vedevo l'ora di portare questo caso sul canale perché è assolutamente uno dei più assurdi nel mondo del cybercrime. È una storia talmente incredibile che sembra un film. Per capire perché penso questo, dobbiamo fare un passo indietro e andare nel 2016. All'epoca comprare e vendere criptovalute non era semplice come oggi. C'erano poche piattaforme affidabili di exchange e una delle più importanti era Bitfinex, con sede a Hong Kong. Bitfinex Bitfinex funzionava come un enorme mercato di scambio digitale. Gli utenti potevano depositare i loro fondi, che potevano essere Bitcoin, altre criptovalute o anche moneta tradizionale, e da lì comprare, vendere o scambiare criptovalute. Il successo di Bitfinex stava nella sua capacità di attrarre anche gli investitori professionisti, perché aveva interessi molto ragionevoli, aveva degli strumenti avanzati per fare trading e soprattutto aveva un'ottima reputazione di solidità. In pratica, per molti era la porta principale per entrare nel mondo delle cripto. Il 2 agosto 2016 questa immagine di sicurezza crolla improvvisamente. Un hacker riesce a penetrare nei sistemi di Bitfinex, protetti da tecniche di sicurezza molto avanzate, e prende possesso delle credenziali di accesso di tutti gli utenti. Una volta dentro si rende conto che per spostare i fondi di un utente su Bitfinex non bastavano le credenziali di accesso, servivano più chiavi digitali fornite da soggetti diversi. Eppure, in qualche modo, l'attaccante riesce a forzare anche questo sistema, avviando in modo automatico più di 2.000 transazioni in serie, spostando i fondi degli utenti su un unico portafoglio e accumulando ben 120.000 Bitcoin, che come dicevo sono pari circa, in quel periodo, a 72 milioni di dollari. Mi dispiace se non riesco a scendere più nel tecnico, ma Bitfinex non ha reso proprio note le modalità con cui questo attacco si è svolto, quindi sappiamo quello che è successo, ma non sappiamo precisamente come. Comunque, immaginate il panico degli investitori che da un giorno all'altro si sono trovati il wallet letteralmente svuotato. La reazione ovviamente è immediata e devastante. Il prezzo dei Bitcoin, che fino a quel momento stava salendo, crolla del 20% nel giro di poche ore man mano che la notizia si diffonde sui social e sui forum di criptovalute. Bitfinex reagisce bloccando immediatamente tutte le operazioni di trading e i prelievi, comunicando di aver subito un attacco coinvolgendo le forze dell'ordine, avviando indagini interne e via dicendo. Oltre a questo viene implementata poi una misura che fa molto discutere gli utenti. Per gestire le perdite, la società stabilisce un taglio del 36% su tutti i conti dei clienti, anche di chi non era stato toccato direttamente dall'attacco, con una tecnica che in gergo si chiama socializzazione del danno. Quindi anche se il tuo conto era a posto, non avevi perso niente perché non era stato toccato, vedevi comunque sparire più un terzo del saldo. In cambio di questi prelievi forzati, Bitfinex distribuisce dei gettoni chiamati BFX token, che avrebbero poi dato diritto in futuro ad azioni della società o a rimborsi man mano che i fondi venivano recuperati. La comunità cripto vive quei giorni come un trauma collettivo. Da un lato, come dicevo, c'è la rabbia degli utenti che vedono i propri risparmi ridursi di colpo, alcuni addirittura perdono tutto. Dall'altro la paura più in generale che le criptovalute fossero un investimento non sicuro. Tutto questo succedeva fra l'altro solo 2 anni dopo che un altro exchange, questo giapponese, aveva dichiarato bancarotta a causa della sparizione di 850.000 Bitcoin. Iniziavano quindi esserci dubbi su tutto il settore delle criptovalute che veniva percepito come troppo vulnerabile agli attacchi degli hacker. A questo punto però, se sapete un attimo come funziona la blockchain, potreste chiedervi: ma scusa, La blockchain non è un registro matematico dettagliato in cui ogni singolo movimento viene tracciato? Non era possibile capire dove fossero finiti quei Bitcoin? Il punto è proprio questo: tutti potevano vedere dove erano finiti i Bitcoin. Erano stati tolti dai portafogli degli investitori di Bitfinex e trasferiti su un altro wallet. Il problema era che non si sapeva a chi fosse intestato quel wallet, ed è proprio su questo che si concentrarono le indagini delle forze dell'ordine. Visto che non era possibile capire a chi fosse intestato il foglio, gli investigatori avevano bisogno di creare un quadro più ampio formato da vari indizi, quindi non solo sulla blockchain. E in particolare avevano bisogno che questi soldi venissero spostati. Il top sarebbe stato chiaramente che l'hacker decidesse di convertirli in dollari e spostarli su un conto corrente personale, ma era chiaro che si trattava di una persona estremamente intelligente, per cui aveva poco senso sperare in questo colpo di fortuna. Bisognava quindi aspettare che li spostasse e incrociare i dati dei nuovi wallet con tutte le informazioni possibili. Per alcuni mesi i soldi restarono fermi in quel portafoglio. L'hacker con tutta probabilità stava aspettando che le acque si calmassero prima di fare mosse azzardate. Intanto, dopo il primo crollo, il valore dei Bitcoin aveva iniziato a crescere. Se al momento dell'attacco, quindi agosto 2016, un Bitcoin corrispondeva a circa $600, a gennaio 2017 ne valeva $1000. A metà anno era già salito a $2500 e a dicembre 2017 toccò quasi i $20.000. Per fare due conti, se ad agosto 2016 quei 120.000 Bitcoin corrispondevano a 72 milioni di dollari, un anno e mezzo dopo valevano già 2 miliardi e mezzo, quindi 70 milioni moltiplicati per 34 volte. Da un lato possiamo immaginare il fastidio, per dirla proprio con un eufemismo, degli investitori che avevano perso i loro Bitcoin. Dall'altro capiamo anche quanto il nostro hacker stesse scalpitando, perché aveva proprio a disposizione più di 2 miliardi di dollari e non aveva l'ora di usarli. A distanza di qualche tempo quindi il bottino comincia a muoversi. Non parlo di mega trasferimenti che avrebbero senza dubbio attirato molto di più l'attenzione, ma di spostamenti di piccole quantità di denaro alla volta che venivano inviate a centinaia di wallet diversi per rendere più difficile seguire ogni singola traccia. Una tecnica che gli investigatori chiamano peel chain e che consiste proprio nello sbucciare poco alla volta le somme rubate, lasciando comunque il grosso sempre sullo stesso portafoglio in modo da non destare troppi sospetti. Le forze dell'ordine però non si erano dimenticate del furtarello del 2016. Quel portafoglio lo stavano tenendo molto ben monitorato, e quei movimenti per loro erano il segnale che qualcuno stava cercando di ripulire il denaro. Ed è qui che entra in gioco AlphaBay. AlphaBay in quel momento era il protagonista incontrastato del dark web. Era un marketplace dove si poteva comprare di tutto: droga, armi, documenti falsi, malware, e che offriva anche un servizio parallelo chiamato Tumblr o Mix. Mixer. In pratica gli utenti potevano depositare criptovalute in una specie di conto condiviso dove venivano mescolate e poi prelevarle da un altro account per renderle irrintracciabili. Per chi aveva l'esigenza di riciclare del denaro rubato, AlphaBay era perfetto. La blockchain si interrompeva al momento del deposito e quando i fondi venivano ritirati non c'era un nesso visibile fra ingresso e uscita. È come mettere delle fragole in un mixer e ottenere un frullato. Penso che sia un po' difficile dopo prendere i singoli pezzettini di fragola capire da quale fragola provenivano. Gli hacker di Bitfinex quando iniziano a movimentare una parte dei fondi usano anche il servizio di Tumbler di AlphaBay e per qualche tempo il piano sembra funzionare. Sulla blockchain non resta quasi traccia del flusso di denaro. Poi a luglio 2017 succede una cosa che forse non avevano messo in conto: AlphaBay viene smantellato da un'operazione internazionale guidata dall'FBI. Quando le autorità mettono le mani sui server si trovano davanti a interi gigabyte di registri interni contenenti tutti quelli che era successo sul marketplace, quindi chi aveva comprato armi, chi aveva venduto droga e così via. In questi server c'è anche una bella sezione dedicata al servizio di mixing delle criptovalute, in cui c'è tutta la cronologia dei depositi e dei prelievi, con tanto di dati associati agli utenti come email, nickname e anche indirizzi IP. In quei file gli investigatori trovano alcuni depositi e prelievi che coincidono proprio con i flussi provenienti dal wallet dell'hacker di Bitfinex, quello è il punto di svolta. Le forze dell'ordine iniziano a collaborare con società di analisi della blockchain come Elliptic e Chainalysis, che iniziano a incrociare tutti i dati a loro disposizione e piano piano emergono degli schemi. Emergono ad esempio account creati con email usa e getta diverse ma tutte dello stesso provider, saltano fuori indirizzi IP ricorrenti, documenti falsi che però riconducono sempre alle stesse persone, e così via. Il problema è che qui le forze dell'ordine si incagliano in quella che sembra una falsa pista, perché tutti gli indizi portano a due persone che all'apparenza non c'entrano proprio niente con questo mondo. È ora di parlarvi di Ilya Lichtenstein e Heather Morgan. Ilya Lichtenstein, detto Dutch, nasce in Russia nel 1987 e si trasferisce già da piccolo negli Stati Uniti con la famiglia. Cresce a Chicago, studia, si laurea in psicologia all'Università dell'Illinois, ma è la tecnologia a attirare davvero la sua attenzione. Non è il classico hacker da stereotipo col cappuccio e gli schermi verdi. Ilya è un giovane imprenditore molto ambizioso, tanto che dopo la laurea si trasferisce a New York e avvia una serie di attività legate al marketing digitale e al mondo tech. Fonda una startup chiamata MixRank, specializzata nell'analisi dei dati per proporre pubblicità mirata, che ha un discreto successo fin da subito. Proprio in quegli anni a New York conosce Heather Morgan. I due si incontrano intorno al 2013 2014 proprio per via del fatto che entrambi frequentavano il mondo delle startup e degli imprenditori. La differenza è che Liechtenstein in quegli ambienti era molto conosciuto, faceva anche da mentore per gli altri startup, era considerato uno che ce l'aveva fatta, mentre Heather stava ancora cercando di emergere. Stacchiamo un attimo e parliamo di lei. Heather Morgan nasce in California nel 1990, ha una personalità molto diversa da quella di Ilya. Mentre lui è un tipo calmo, timido, riservato, lei è estroversa, eccentrica, spesso molto sopra le righe. È una persona estremamente intelligente e ci tengo a dirlo perché quello che vedremo poi potrebbe farvi pensare il contrario. Parla ben 7 lingue, ha una laurea in economia, è particolarmente interessata ai mercati emergenti, tanto che lavora per un periodo anche in Egitto come analista finanziaria. Rientrata negli Stati Uniti, si trasferisce a New York con l'obiettivo di costruire una carriera nel mondo del business. Qui scrive articoli per Forbes sulla leadership femminile, sull'imprenditoria e cose simili, e fonda una propria startup chiamata Salesfolk, posizionandosi come esperta di email marketing. Quando Heather e Ilya si conoscono, pur essendo due persone completamente diverse, nasce l'amore. Nel giro di poco tempo diventano una coppia stabile sia nella vita privata che negli affari, coltivando la loro immagine all'esterno in modo un po' diverso tra loro. Come dicevo, Ilya è molto riservato, di lui si sa molto poco al di là del coinvolgimento nei vari progetti e nelle imprese che fonda. Lei di contro fa di tutto per stare al centro dell'attenzione, e oltre al proprio lavoro normale di imprenditrice e scrittrice per Forbes, si cimenta nel rap con lo pseudonimo di Razzle Khan, un progetto che potremmo definire discutibile, anche se il termine più corretto è cringe. Non sa rappare, non sa scrivere, le sue canzoni sono inascoltabili, e lo dico da amante del genere. E la cosa più strana è che in questo progetto investe veramente un sacco di soldi, prenota i migliori studi, cerca i migliori registi di videoclip, si fa aiutare da paroliere esperti. Insomma, non sembra tanto una persona esperta di business, perché non è un progetto che esplode, che va particolarmente bene. Sembra più come se come se avesse un mucchio di denaro che non sa come utilizzare. Quando le indagini arrivano a identificare Ilya e Heather come i principali sospettati, gli investigatori in un primo momento fanno un po' fatica a crederci. Dopo anni passati a inseguire un hacker invisibile super esperto che aveva messo in ginocchio uno dei più grandi exchange del mondo, i sospetti convergevano su una coppia che almeno in apparenza non c'entrava nulla con questo mondo: un giovane imprenditore dai modi pacati e una consulente barra imprenditrice barra rapper che amava mettersi in mostra con video imbarazzanti. Possibile che dietro alla truffa del secolo non ci fosse un'organizzazione criminale internazionale finanziata da qualche governo, ma questi due? Il punto è che di prove contro di loro ce n'erano parecchie, e non parlo solo dei server di Alphabay, ma di 3 dettagli che emergono dalla vita privata della coppia. Il primo riguarda Heather Morgan, anzi Reysol Khan, che nei suoi testi lascia alcuni riferimenti un po' strani per una normale rapper di strada. In uno In uno di questi c'è un verso che recita: "Ti rubo la password con il phishing, tutti i tuoi fondi vengono trasferiti". Una cosa un po' specifica per essere del semplice dissing. E infatti per i federali non è una frase casuale, ma è una confessione artistica, buttata lì pensando che tanto nessuno l'avrebbe presa sul serio e che non sarebbe mai stata considerata una vera e propria prova. Il secondo dettaglio invece riguarda Ilia, o meglio il padre di Ilia. Eugene Liechtenstein. A quanto pare anche Eugene era un hacker molto bravo, al punto da essere riuscito nel 2005 a entrare nei sistemi della National Bank dell'Indiana. Non sarebbe però riuscito a prelevare del denaro, pur avendo chiesto aiuto anche ad altri hacker, e avrebbe quindi abbandonato il mondo del crimine informatico per fare l'agente immobiliare. Quindi Ilya, questo imprenditore molto ambizioso, di successo, tutto il contrario del normale hacker che ci aspettiamo, qualche legame col mondo dell'hacking in realtà ce l'aveva. Il terzo dettaglio è più di natura tecnica. Come accennavo, gli hacker erano stati molto bravi a nascondere le criptovalute. Circa l'80% del bottino era rimasto sul wallet principale, visto che ormai era chiaro che le autorità non riuscivano a risalire da lì all'intestatario di quel portafoglio. Ma un 20% era stato intanto ben movimentato. La coppia aveva utilizzato tutti i metodi più avanzati per l'epoca. Io ve ne ho citati solo alcuni per non complicare troppo il discorso, ma erano stati veramente bravi e soprattutto molto pazienti, visto che per spostare quel 20% ci avevano messo quasi 6 anni. Il problema per loro è che nel tempo erano molto migliorate sia le tecniche di indagine sulla blockchain sia la regolamentazione delle piattaforme di scambio di criptovalute, che avevano iniziato ad adottare protocolli di identificazione dei clienti. Non era più così semplice quindi aprire 100 portafogli in cui sparpagliare il denaro se per ogni portafoglio doveva esserci prima l'identificazione della persona. Oltretutto, una parte dei fondi era stata convertita in lingotti e in gift card di vario tipo, e ogni singola transazione conteneva dei micro indizi che, messi tutti insieme, non erano più così micro. I coniugi, comunque, perché nel frattempo Ilya e Heather si erano sposati, avevano snasato che forse i federali li stavano cercando e volevano tenersi una via di fuga. Avevano pensato di trasferirsi in Ucraina, visto che entrambi parlavano abbastanza bene la lingua, e Ilya aveva dei parenti lì. E avevano organizzato tutto quanto. Avevano dei passaporti falsi, dei contanti, dei contatti, e avevano anche avviato le pratiche per acquistare una casa lì. Erano pronti. Non appena i federali avessero bussato alla loro porta per guardare dentro l'abitazione o identificarli, loro avrebbero fatto le valigie e sarebbero saliti sul primo volo per l'Europa. E in effetti le prove raccolte fino a quel momento erano sufficienti per ottenere un mandato per ispezionare la casa e gli account cloud della coppia. Lo scopo degli investigatori era trovare una conferma che i wallet attraverso cui erano stati fatti passare i fondi fossero effettivamente intestati a Ilia o Heather. L'ideale sarebbe stato trovare le chiavi private che permettono il trasferimento delle criptovalute, perché in quel modo sarebbero riusciti non solo ad avere la conferma che erano stati loro, ma sarebbero riusciti anche a sequestrare il denaro rubato spostandolo su altri portafogli. Con il mandato in mano, all'inizio del 2022 si presentano a casa dei coniugi e la ribaltano, frugando dappertutto per cercare prove e chiavi private. Trovano molte cose sospette, come sacchetti pieni di cellulari usa e getta, libri scavati per nasconderci dentro qualcosa, e ovviamente trovano anche vari computer che sequestrano. Tornati in centrale, iniziano ad analizzare gli archivi digitali e cloud dei coniugi e notano che c'erano alcuni file Excel cifrati, quindi impossibili da aprire senza avere la chiave di decifratura. Ma l'FBI è l'FBI, quindi questi file in tempo zero vengono aperti. E dentro cosa c'è? Una bellissima tabella completa e precisissima con tutti i dettagli di oltre 2000 indirizzi di wallet legati al furto di Bitfinex, con tanto di chiavi private per accedervi. Uno di questi wallet è quello principale, quello in cui ancora si trovava depositato l'80% del bottino rubato alla società. Ecco la prova definitiva che serviva ai federali, ed ecco la prova definitiva che anche l'hacker più intelligente e sgamato di tutti è un essere umano e prima o poi farà un errore, perché perché come ti viene in mente di segnarti le chiavi private su un foglio Excel? Per 'ste cose ci vogliono i pizzini di carta, lo sappiamo tutti. Comunque, pochi giorni dopo la perquisizione, il Dipartimento di Giustizia annuncia il più grande sequestro di criptovalute della storia. Erano stati recuperati ben 9.636 bitcoin per un valore di 3,6 miliardi di dollari. Il passo successivo, ovviamente, è andare ad arrestare la coppia, che però, come vi dicevo, si era preparata per tempo una via di fuga in Ucraina. Il problema è che siamo nel 2022, e cosa succede a febbraio 2022? Scoppia la guerra fra Russia e Ucraina. Quando gli agenti bussano alla porta di casa Lichtenstein, i coniugi sono ancora lì e si fanno portare via senza fare opposizione. Quando inizia il processo, le accuse principali sono due: uno, cospirazione per frodare gli Stati Uniti per via dei vari documenti falsi creati reati e 2, cospirazione per riciclaggio di denaro relativamente agli spostamenti dei fondi. Come vedete, manca un'enorme accusa all'appello, che ovviamente è quella di aver commesso il furto ai danni di Bitfinex. Ma la realtà è che prove su questo non ce ne sono. Di fatto, l'unica cosa che si sa per certo è che il portafoglio su cui sono finiti i Bitcoin rubati è di Ilya, ma non ci sono tracce che possono ricollegarlo in modo diretto all'hackeraggio in sé. È lo stesso Ilya poi a confessare di essere anche l'autore del furto. Una decisione che lascia tutti sbalorditi, visto che prove appunto non ce n'erano, e quindi poteva sperare almeno di cavarsela da questo punto di vista. Circolano varie teorie sul perché abbia deciso di confessare. Forse non era stato lui da solo e stava cercando di proteggere qualcuno. Forse sperava in uno sconto di pena sul resto. Forse voleva evitare che la situazione della moglie Heather si aggravasse. Insomma, i contorni di questa parte della vicenda non sono proprio chiarissimi. Alla fine, a novembre 2024, entrambi hanno patteggiato e raggiunto un accordo con le autorità. Ilya Lichtenstein si è dichiarato colpevole del furto a Bitfinex, del riciclaggio di denaro e della falsificazione dei documenti, ed è stato condannato a 5 anni di carcere e 3 di libertà vigilata. Heather Morgan si è dichiarata colpevole solo del riciclaggio e della falsificazione dei documenti, ed è stata condannata a 18 mesi di carcere e 3 anni di libertà vigilata. Villata. Entrambi hanno poi collaborato con le autorità per il recupero di altre somme oltre a quelle già sequestrate, quindi in totale sono stati recuperati circa 4 miliardi di dollari. Attualmente i due si trovano in carcere. Mentre Ilya è rimasto ancora fuori dai riflettori, cercando di non attirare troppa attenzione su di sé, la Morgan si è comportata in modo totalmente diverso. In attesa del processo ha pubblicato una nuova canzone intitolata Diplomat Pussy e all'inizio del video mette in mostra dei Bitcoin, quindi non sembra estremamente pentita. Ma il video che mi è piaciuto di più è il Get Ready With Me per andare in prigione, dove fa vedere il suo outfit appena prima di essere incarcerata. A questo punto una domanda che dovremmo farci è: ma le vittime del furto, quelle che si sono trovate il conto Bitfinex svuotato, hanno recuperato i loro fondi? La società, appena le somme sequestrate sono state restituite, ha annunciato di aver iniziato a risarcire gli utenti. Qui non si è capita bene una cosa. Apparentemente la restituzione agli utenti è stata calcolata sulla base di quei famosi token BFX che erano stati distribuiti da Bitfinex subito dopo il furto. Il punto è che questa cosa mi suona molto strana, perché mettiamo che ci siano stati rubati nel 2016 10 Bitcoin, che all'epoca valevano $6.000, riceviamo quindi 6.000 BFX token, dove un token vale $1. Nel 2022 questi Bitcoin vengono recuperati, il punto è che in quel momento ormai 10 Bitcoin non valgono più $6.000 ma circa $400.000. Mentre il valore del BFX token non si è smosso di una virgola. Mi fa un po' strano che gli utenti abbiano accettato di ricevere in cambio dei loro token BFX solo $6.000 mentre il Bitcoin è cresciuto vertiginosamente. Io ragiono da avvocato e penso che se avessi dovuto rappresentare uno degli utenti di Bitfinex avrei trascinato la società in tribunale in tempo zero. Se l'utente aveva dei Bitcoin, rivuole indietro dei Bitcoin, non l'equivalente del 2016 di quei Bitcoin. Mi sembra un po' assurdo francamente. Bene, come sempre spero che il video di oggi vi sia piaciuto. Fatemi sapere se conoscevate già la vicenda e cosa ne pensate. Vi segnalo che su Netflix trovate un documentario proprio su questo argomento, si intitola The Biggest Heist Ever, la rapina più grande di sempre. Non ho citato questo documentario nel numero della newsletter dedicato ai film e alle serie da guardare, di cui vi lascio il link in descrizione se ve lo siete perso, perché secondo me è stato un po' tirato via. L'ho trovato confusionario e poco strutturato e non ha reso giustizia alla storia. Comunque, se l'avete visto, fatemi sapere nei commenti cosa pensate anche di questo, perché sono curiosa. Noi ci rivediamo al prossimo video.