😱 Il caso MICHAEL TERPIN: 24 milioni di dollari svaniti nel nulla

È il gennaio 2018, Michael Terpin si trova a Las Vegas e si sta preparando per una serata molto importante. Ha 60 anni, una carriera trentennale nel tech ed è uno degli investitori in criptovalute più famosi e ricchi che esistano. Fra poche ore deve inaugurare un evento cripto a Caesar Palace durante il CES, una fiera dedicata alla tecnologia a cui partecipano persone da tutto il mondo. Improvvisamente riceve una mail da Google: un nuovo dispositivo ha appena effettuato l'accesso a dei suoi account. Terpin guarda il telefono e si accorge che il segnale è sparito, non c'è linea. Capisce immediatamente cosa sta succedendo perché gli è già capitato 7 mesi prima. Qualcuno ha preso il controllo del suo numero di telefono e in quel momento lo sta usando per rubargli milioni di dollari. Ma come sempre, per capire bene com'è andata, dobbiamo partire dall'inizio. Ciao a tutti e benvenuti in questo nuovo video. Anticipo già che Imo 'sto giro starà buono buono nel suo skateboard, perché volevo dirvi che quando sono arrivata in studio l'ho trovato per terra e temevo fosse morto, visto che è volato da un metro e mezzo. Invece sta bene, ma è in punizione. Comunque, la scorsa settimana abbiamo visto come fanno i malintenzionati a clonare il nostro numero di telefono, ed è ora di vedere come è stato fatto in concreto in quello che è diventato il caso di sim swapping più importante che esista. Ma andiamo con ordine. Per capire perché questa storia è così assurda bisogna partire dal suo protagonista, ovvero Michael Terpin, imprenditore e investitore americano definito il padrino delle cripto per il ruolo che ha avuto nel lancio e nella consulenza a progetti del calibro di Ethereum. Terpin inizia la sua carriera nel 1990 quando fonda la Terpin Communications, una società di PR specializzata in tecnologia e nuovi media. Nel 1994 fonda Internet Wire, poi ribattezzata Market Wire, ovvero la prima piattaforma di distribuzione di comunicati stampa basata su internet. Quando nel 2013 ha iniziato a interessarsi di Bitcoin, un singolo Bitcoin valeva circa $100. Per darvi un'idea, oggi ne vale circa 70.000. Terpin è entrato presto in questo mercato, ha investito con cognizione di causa e ha anche co-fondato BitAngels, il primo gruppo di angel investor dedicato a Bitcoin e blockchain. Blockchain. Ha poi fondato la Transform Ventures, la principale agenzia di PR del settore blockchain, e iniziato a organizzare conferenze per investitori in tutto il mondo. Insomma, era il bersaglio perfetto per tentare un attacco, e i malintenzionati lo sapevano. La nostra storia inizia l'11 giugno 2017. Terpin si è appena trasferito in una nuova casa a Guaynabo, una zona piuttosto rurale nella periferia di San Juan a Porto Rico, che in quel periodo era praticamente il paradiso fiscale per le criptovalute. Tutto a un tratto il suo telefono smette di funzionare. Terpin e sua moglie pensano inizialmente che sia un problema di copertura, perché la zona è isolata e il segnale non è mai stato un granché. Invece non è un problema di copertura, qualcuno ha appena rubato il suo numero di telefono. Quello che è successo, e che Terpin scoprirà nelle ore e nei giorni successivi, è un attacco di SIM swapping in piena regola. Ne abbiamo parlato la scorsa settimana, ma giusto per rinfrescarvi la memoria, è quel tipo di attacco in cui il malintenzionato contatta la compagnia telefonica che gestisce il numero di telefono della vittima, si finge la vittima e chiede di trasferire il numero su un'altra SIM, in modo da far convogliare sul proprio telefono tutti i messaggi e le chiamate indirizzati al reale possessore del telefono, compresi gli SMS contenenti codici di autenticazione, ancora molto usati in vari servizi e applicazioni. Con quei codici il cybercriminale può resettare le password di qualsiasi account collegato a quel numero, entrare nelle mail, nei cloud, nei wallet crypto, e portarsi via quello che trova. Chiaramente in tutti i casi in cui l'autenticazione a più fattori è basata sull'SMS o sulla chiamata. Nel caso di Terpin i criminali fanno esattamente questo: convincono un dipendente della sua compagnia telefonica, la AT&T, a trasferire il suo numero su un'altra SIM. Con il controllo del numero entrano nei suoi account, si spacciano per lui su Skype e riescono a contattare un suo cliente convincendolo a inviare un pagamento a un conto di criptovalute che in realtà controllano loro. Il tutto mentre Terpin è tagliato fuori dal suo stesso telefono e non può nemmeno fare una chiamata. Ora, non è che gli attaccanti siano riusciti a fare tutto questo senza impegnarsi, eh. Per riuscire a trasferire il numero di Terpin erano andati in 11 negozi e TNT diversi dove il commesso aveva rifiutato di fare il trasferimento perché loro non erano in possesso della password collegata all'account di Terpin necessaria per fare qualunque tipo di operazione. Operazione. A quel punto i malintenzionati avevano cambiato strategia. Invece di insistere col canale fisico, erano passati a quello remoto, chiamando il servizio clienti e convincendo gli operatori a resettare la password. Ne avevano impostata una nuova e con quella erano andati finalmente in un altro negozio, il dodicesimo, dove erano riusciti a completare l'attacco e a trasferire il numero su una loro SIM. Dopo aver capito di essere stato vittima di un attacco, Terpin va immediatamente alla AT&T a chiedere spiegazioni. Loro ovviamente sono super rammaricati e gli creano una protezione aggiuntiva. Oltre alla password gli forniscono un altro codice a 6 cifre segreto e lo associano al suo account, codice che loro chiamano wireless password, cioè password senza fili, da non confondere con la password col filo che usiamo tutti. In questo modo un criminale avrebbe dovuto mettere le mani non solo sui dati personali di Terpin, ma anche su questo codice segreto che solo lui conosceva, senza il quale ogni operazione operazione sarebbe stata impossibile. AT&T crea il codice, lo associa al suo account, ma si dimentica di renderlo obbligatorio. Un dipendente poteva compiere qualunque operazione e ignorare il passaggio in cui gli si chiedeva di inserire il codice che autenticava il signor Terpin. Dei geni proprio. Fortunatamente, anche se il passaggio non è obbligatorio, i dipendenti di AT&T si comportano come se lo fosse e non accettano nessuna operazione situazione in cui questo codice non sia stato inserito o comunicato. Un mese dopo il primo attacco, i criminali tentano di nuovo. Si presentano ancora una volta in 11 negozi AT&T cercando di ottenere il numero di Terpin e falliscono tutte e 11 le volte. Provano anche qui a resettare da remoto la password e il call center rifiuta proprio perché i dipendenti chiedono questo codice che loro non hanno. Per qualche mese Terpin dorme tranquillo. Arriviamo così al 7 gennaio 2018, quando Terpin sta preparando il suo intervento al CES, la più grande fiera di tecnologia del pianeta, che si tiene a Las Vegas al Caesars Palace. Il suo telefono riceve una mail da Google che lo avvisa che un nuovo dispositivo ha appena effettuato l'accesso a uno dei suoi account. Terpin si accorge che il segnale è sparito e capisce immediatamente che qualcuno è riuscito di nuovo a trasferire il suo numero su un'altra SIM, come gli era successo 7 mesi prima. Un dipendente di un negozio AT&T del Connecticut aveva autorizzato il trasferimento ignorando volutamente o per sbaglio il passaggio in cui si chiedeva di inserire il codice segreto, che come dicevo non era obbligatorio, era messo lì giusto come decorazione. Da questo momento in poi tutto succede molto velocemente. L'hacker riceve gli SMS destinati a Terpin, usa i codici di reset della password per entrare nel suo account Microsoft e fruga nel suo OneDrive fino a trovare un file che a quanto pare era nel cestino, contenente tutte le credenziali di accesso ai wallet crypto di Terpin, quindi chiavi private, seed phrase, tutto quello che serve per rubare delle criptovalute. Ora, e TNT ha tutte le sue colpe e nessuno vuole negarlo, però anche tu Terpin, cioè sei il padrino delle criptovalute, sai benissimo che chi ha in mano le chiavi e seed phrase ha in mano tutto il tuo wallet e tu le scrivi in un unico file messo su Microsoft OneDrive su cui non hai neanche chissà quale protezione, visto che l'hacker è riuscito a entrare senza problemi grazie al tuo numero di telefono? Credo anche poco al fatto che il file fosse nel cestino. Penso che sia una cosa detta un po' per togliere la responsabilità in capo a Terpin, come dire: eh sì, aveva il file delle password, ma aveva tentato di eliminarlo. Se lo sposti nel cestino, come minimo svuoti anche il cestino. Sanno tutti che altrimenti le cose restano lì almeno per 30 giorni. Si può incolpare AT&T per non aver protetto il numero, si può incolpare il dipendente che ha sbagliato o si è lasciato corrompere, si può incolpare il sistema vittima o il governo ladro, ma tenere le credenziali di un wallet contenente milioni di dollari in un file su un cloud con una protezione che era già stata violata una volta è una scelta veramente molto difficile da difendere. Comunque non sono il tipo di persona che punta il dito contro la vittima, ma voglio usare questa cosa solo per dirvi: non siate come Terpin e non conservate in cloud, a disposizione di chiunque passi, le vostre password più segrete. Al massimo, se proprio volete farlo, mettetele in file diversi, cifrateli, e comunque non scrivetela in chiaro. Se la vostra password è stellastay26!, salvatela come umbertotozzi16?. Qualcosa che vi possa aiutare a ricordare la password originaria ma senza consegnarla direttamente in mano ai malintenzionati. Anyway, il nostro hacker mette le mani su questo file incriminato e in poche ore converte in Bitcoin e trasferisce sul proprio wallet circa 3 milioni di token TRIG, una criptovaluta che all'epoca valeva più o meno $7 a token. Il totale si avvicina quindi a 24 milioni di dollari. Terpin in quelle ore contatta immediatamente TNT e riesce a riprendere il controllo del proprio telefono. Poi, una volta ripreso il controllo, si rende conto del danno. Quelle rubate dal hacker non erano per fortuna le uniche criptovalute che aveva. Alcuni wallet erano protetti da Google Authenticator, che genera codici sul dispositivo fisico, quindi sul cellulare, senza passare da un SMS, e quei wallet sono rimasti intatti. Intatti. Gli altri invece sono stati svuotati. E ora voi potreste chiedervi: ma chi c'era dietro questo attacco? È ora di parlarvi dell'altro giovanissimo protagonista della nostra storia, ovvero Ellis Pinsky, un ragazzo che a 15 anni, dopo il furto di criptovaluta Terpin, diventa multimilionario. Pinsky cresce in un paesino vicino a New York, non ha un passato da criminale, anzi è uno studente brillante che va bene a scuola, ha la passione per gli scacchi, disciplina in cui ha vinto anche diversi tornei, quindi è classico ragazza normale. A 12-13 anni Pinsky scopre però di avere un talento naturale per l'informatica, talento che lo fa sentire potente. Inizia ben presto ad hackerare grandi aziende e a rubare e rivendere nel dark web codice sorgente, dati personali, tutto quello che trovava. Il suo forum preferito è OGUsers, nato per scambiarsi nomi utenti rari o considerati fighi o di valore, è diventato ben presto un centro di ritrovo per giovani hacker. Ne abbiamo parlato, se ricordate, anche nel caso del hacking a Twitter, uno dei primissimi video del canale, anche questo compiuto da un ragazzo minorenne che aveva trovato degli spunti e delle ispirazioni proprio all'interno di OGUsers. Pinsky, grazie anche agli spunti raccolti su questo forum, realizza un programmino automatico che cerca su Twitter le persone che lavorano per le compagnie telefoniche, cerca tweet del tipo "ho appena finito il turno a AT&T" oppure "prima giornata di lavoro a Verizon". Questo programma ogni volta che trova un dipendente lo contatta in privato e gli offre una piccola somma in Bitcoin per corromperlo e convincerlo a eseguire un SIM swapping. Circa il 10% accetta, 1 su 10. Pinsky raccontò poi alla rivista Rolling Stone che a un certo punto aveva almeno un insider pagato in ogni grande operatore telefonico americano. Quindi 'sto ragazzo aveva 15 anni e gestiva una rete di talpe nel settore delle telecomunicazioni. Pinsky ben presto decide di puntare proprio su Terpin e capisce che non può portare avanti il suo piano da solo. E qui entra in scena un altro personaggio chiave, ovvero Nicholas Truglia, ragazzo di 21 anni della Florida con alcuni precedenti proprio per sim swapping e furto di criptovalute. Se Pinsky è il cervello, Truglia è il braccio. Nel colpo a Terpin il ruolo di Truglia è quello di mettere a disposizione il suo account sulla piattaforma di exchange Binance per ricevere e riciclare le criptovalute rubate. Quando Pinsky ruba i 24 milioni di dollari in token TRIG a Terpin, è al wallet di Truglia che li manda. Lui apre il suo account Binance, converte i token in Bitcoin e li distribuisce fra i complici. Truglia è dunque un personaggio chiave in questo attacco, ma sfortunatamente per gli hacker è anche un personaggio che, come dire, non eccelle nella discrezione. Fin da subito si fa fotografare con bottiglie costose, ostenta uno stile di vita lussuoso, sui social si vanta sempre dei milioni che e soprattutto movimenta di continuo il bottino spostandolo su vari exchange, spendendo e reinvestendo di continuo, scambiandolo anche in dollari, quindi in valuta normale. Normalmente in attacchi di questo tipo si mettono i soldi rubati al sicuro e poi si tiene un profilo basso per un po', proprio per evitare di lasciare tracce che possano portare poi gli inquirenti a individuare i responsabili. Truglia fa l'esatto contrario. In tutto questo, a Michael Terpin la storia non andava proprio Le vittime normali vanno alla polizia, denunciano e aspettano, stanno con le mani in mano e sperano che vengano presi i colpevoli. Terpin però non è una vittima normale, è un uomo che si occupa di comunicazione da 30 anni e che decide di trasformare la sua tragedia personale in una campagna pubblica. Terpin quindi rende pubblica fin da subito la vicenda, concede interviste, pubblica su LinkedIn ogni aggiornamento e soprattutto scrive una lettera aperta al presidente della FCC, la Federal Communications Commission, proponendo che il governo obblighi le compagnie telefoniche a nascondere le password e i PIN dei clienti ai propri dipendenti di basso livello. Oltre a questo dà anche il via a una vera e propria caccia all'uomo, invitando altri hacker a raccogliere informazioni sui responsabili e, a quanto pare, promettendo anche delle ricompense. Gli informatori cominciano a farsi vivi fin da subito, chiamando Terpine, la moglie, nascondendo la voce e da numeri non tracciabili. Alcuni erano motivati da questa promessa di una ricompensa, altri dall'invidia, o anche proprio solo antipatie personali. Comunque le informazioni convergono tutte su un nome: un ragazzino di un sobborgo di New York. Terpini inizia quindi, sfruttando le proprie conoscenze, a raccogliere prove contro Pinsky e a cercare di ricostruire tutto l'accaduto. Nel frattempo però si porta avanti su un altro fronte, intentando una bella causa contro AT&T, chiedendo un risarcimento di 224 milioni di dollari, ovvero i 24 che gli erano stati rubati e altri 200 milioni per condire. Accusa AT&T di varie cose, fra cui frode, negligenza grave, divulgazione non autorizzata di dati riservati, ma soprattutto accusa AT&T di sapere che i suoi dipendenti venivano corrotti per fare sim swapping e di non aver fatto nulla per impedirlo. Quel che è peggio è che dopo il primo attacco la società aveva promesso a Terpin una protezione speciale che di fatto non era servita a niente. AT&T risponde come rispondono sempre le grandi aziende in questi casi, cioè dice che nel contratto c'erano clausole di limitazione della responsabilità, che il sim swapping è un atto criminale commesso da terzi, che loro erano vittime tanto quanto lo era il signor Terpin. E insomma, ad agosto 2018, visto che non trovano un accordo, inizia una causa che ad oggi non si è ancora conclusa. A luglio 2025 il giudice ha respinto la richiesta di archiviazione avanzata da AT&T e ha fissato il processo con giuria per marzo 2026. Però non ho trovato, dico la verità, nessun tipo di aggiornamento. Quindi o è stato rinviato o hanno hanno trovato un accordo che non è stato reso pubblico, o magari è ancora in corso. E noi che ci lamentiamo della lunghezza dei processi in Italia. Mentre Terpin e la TNT iniziano a litigare in tribunale, a novembre 2018 c'è un colpo di scena quando Nicholas Truglia viene arrestato. L'arresto però non è per il caso Terpin, è per un altro furto da 1 milione di dollari, sempre in criptovalute, e fatto sempre tramite SIM swapping. Durante la perquisizione vengono sequestrati dispositivi e wallet crypto che collegano Truglia anche al caso Terpin. Terpin. Quest'ultimo fa immediatamente causa anche a Truglia, che decide però di non partecipare al processo. Ad aprile 2019 il tribunale emette una sentenza in contumacia contro Truglia e lo condanna a versare alla vittima un risarcimento pari a 75 milioni di dollari, che Terpin, neanche a dirlo, non vedrà mai. Intanto anche le indagini contro Pinsky stavano andando avanti, ma per fargli causa Terpin aspetta che compia 18 anni. A maggio 2020 parte la causa anche contro di lui con la richiesta di un risarcimento pari a 71 milioni di dollari. Pinsky però in quel momento in realtà ha altro di cui preoccuparsi. Ora che tutti sanno che è stato lui a rubare quei soldi e che ha un wallet contenente milioni di dollari, teme per la propria vita. Acquista quindi un fucile da caccia e lo tiene vicino al letto. Pochi mesi dopo l'inizio della causa, 4 uomini tentano di fare irruzione a casa Pinsky proprio con l'obiettivo di farsi consegnare il wallet e le relative credenziali. L'irruzione, che viene raccontata nel dettaglio sia negli atti di causa sia nell'intervista di Pinsky a Rolling Stone, per per fortuna non va a buon fine. Ma direi che tutta questa vicenda è abbastanza emblematica del fatto che in questi ambiti non c'è un vero e proprio cameratismo fra gli hacker. Alcuni hanno fatto serenamente il nome di Pinsky a Terpin, altri hanno provato a rubargli il wallet. Insomma, criminali sono e criminali restano. Comunque, Pinsky, per dimostrare buona volontà, dopo l'inizio della causa restituisce a Terpin 562 Bitcoin, pari a circa 2 milioni di dollari, dicendo di aver purtroppo già speso tutto il resto. Mannaggia! Cosa che dovrebbe anche essere vera, visto che da un certo punto in poi Pinsky prosegue la causa difendendosi da solo, senza avvocato, perché a quanto pare non poteva più permettersene uno. Il processo si conclude a ottobre 2022 con la firma di un accordo in cui Pinsky si impegna a restituire gli altri 22 milioni a Therpin e, cosa ancora più importante, a testimoniare nella causa contro AT&T, spiegando come era stato aiutato da un dipendente infedele. Se la prima parte dell'accordo lascia il tempo che trova, la seconda ha invece avuto risvolti molto importanti, visto che Pinsky diventa il testimone chiave della difesa di Terpin. La sua testimonianza, fra l'altro, è stata proprio al centro del rifiuto del tribunale di archiviare il caso, perché Pinsky aveva dimostrato una responsabilità diretta dei dipendenti di AT&T. L'accordo permette al ragazzo anche di evitare il processo penale, fortuna che invece non capita a Nicola Struglia, che come dicevo aveva scelto di non partecipare al processo civile ed era stato condannato in contumacia. Contro di lui parte dunque anche la causa in sede penale, perché oltre al danno economico che aveva causato a Terpin ha anche chiaramente commesso un reato. E a novembre 2022 arriva la condanna: 18 mesi di carcere con pena sospesa e l'obbligo di restituire 20 milioni di dollari a Terpin, oltre a 1 milione che erano già riusciti a confiscare dai suoi conti. Terpin è furioso, dichiara a Krebson Security, uno dei più autorevoli giornali di cybersicurezza al mondo, di essere indignato dal fatto che che dopo 4 anni e centinaia di prove fornite, il meglio che i procuratori sono riusciti a ottenere sia la condanna per un singolo capo di accusa, tutto sommato non così grave, cioè l'uso non autorizzato di un account Binance, quando tutte le evidenze secondo lui dimostravano che Truglia era uno dei due cervelli di una vera e propria cospirazione criminale. Tarpini in quel momento non sa ancora che avrà la sua rivincita, perché Truglia sta per commettere l'errore più stupido della sua vita. La condanna teoricamente lo obbligava a restituire 12 milioni di dollari entro la fine del 2022 e gli altri 8 milioni a gennaio 2023. Lui però non solo non lo fa, ma continua a vivere la sua vita di lusso come se niente fosse. Partecipa addirittura a un documentario in cui dichiara che tanto lui le crypto le avrebbe tenute anche se fosse andato in carcere per 10 anni, perché tanto le criptovalute non si sequestrano come un conto in banca. Visto che questi soldi non erano stati restituiti, si tiene un nuovo processo proprio per la violazione dell'obbligo di restituzione. E in questo processo l'accusa fa esattamente quello che avrei fatto pure io come avvocato. Prende quel documentario e lo mostra al giudice, facendo vedere Truglia che spiega al mondo che le cripto non si possono sequestrare e che 10 anni di carcere non lo spaventano. Il giudice non la prende bene. Inizia quindi l'ennesimo processo, al termine del quale a luglio 2025 Nicola Struglia viene condannato a 12 anni di carcere. Condanna giustificata dal rifiuto deliberato e ostentato di conformarsi all'ordine del tribunale. Ci vedo giusto un po' di ripicca in questa condanna, della serie Se non ti spaventano 10 anni di carcere, che ne dici di 12? Intanto fortunatamente ci si è mossi anche sul lato della sicurezza dei sistemi. A ottobre 2023 la FCC ha finalmente adottato nuove regole anti SIM swapping con obblighi di notifica immediata ai clienti quando qualcuno richiede un cambio SIM o una portabilità del numero. E a luglio 2025 AT&T ha lanciato nella sua app una funzione gratuita chiamata Wireless Account Lock che blocca qualsiasi modifica all'account. La vicenda dunque si conclude così: due condanne, un processo civile ancora in corso, una nuova legislazione sul SIM swapping e l'aumento della sicurezza nei sistemi di AT&T. Non è stato tutto perfettamente chiarito però. Ad esempio, non si è mai capito chi ci fosse dietro al primo attacco, quello dell'estate 2017, compiuto allo stesso modo, così come non si è capito chi fossero i complici di Pinsky e Truglia, perché in realtà, a quanto pare, dei complici effettivamente c'erano. Però d'altronde non c'è gusto quando viene scoperto tutto, quindi questo caso ce lo facciamo andare bene fine così, anche perché francamente già così è una trama perfetta per un film di Netflix. Bene, come sempre spero che il video di oggi vi sia piaciuto. Fatemi sapere nei commenti se conoscevate già il caso e cosa ne pensate. Se volete approfondire, vi lascio in descrizione le fonti principali da cui ho tratto le informazioni su questa vicenda, quindi potete leggerveli tutte. Noi ci vediamo al prossimo video in cui parleremo dell'OSINT, un argomento che non vedevo l'ora di trattare. A presto!