Il fondatore di THORChain sospettato di essere vittima di un exploit da $1.2 milioni

Un portafoglio personale, che si dice appartenga a un co-fondatore di THORChain, è stato compromesso, causando una perdita di oltre 1,2 milioni di dollari, secondo il tracker di sicurezza Peckshield. Il protocollo ha smentito le prime segnalazioni sui social media che affermavano che la violazione avesse interessato l'intera rete.

La piattaforma di sicurezza Web3 ExVul Defender ha pubblicato su X venerdì che l'attaccante ha iniziato a spostare i fondi due giorni fa. Si ritiene che abbia ottenuto la liquidità iniziale da un mixer prima di interagire con la rete THORChain, effettuando le sue prime transazioni alle 06:41:47 UTC di mercoledì.

Correzione: questo incidente ha coinvolto l'exploit del portafoglio personale di un utente e non è correlato a @THORChain. 🙏 https://t.co/mACcL1WkPt

— THORChain (@THORChain) September 12, 2025

Su Etherscan, l'indirizzo del portafoglio, in conjunction con THORChain, ha emesso tre offerte di bounty entro due giorni dall'hack, ma finora l'attaccante non ha risposto.

ZachXBT: La vittima è JP, co-fondatore di THORChain

Rispondendo al post X dell'allerta di PeckShield, il detective di sicurezza blockchain ZachXBT ha identificato la vittima come John-Paul Thorbjornsen, noto anche come JP, co-fondatore sia di THORChain che dell'applicazione per portafogli Vultisig. 

Il wallet probabilmente appartiene a @jpthor che aveva un wallet privato compromesso a causa di una truffa di falso incontro pochi giorni fa.

JP è una delle persone che ha tratto grandi benefici finanziari dal riciclaggio di hack/exploit dei DPRK.

È un po’ poetico che sia stato ‘rekt’ qui dai DPRK. pic.twitter.com/T57RRJ0bbf

— ZachXBT (@zachxbt) September 12, 2025

Secondo ZachXBT, Il portafoglio personale di JP è stato svuotato di circa 1,35 milioni di dollari durante una truffa di chiamata in riunione su Telegram orchestrata dagli hacker nordcoreani martedì.

JP e le piattaforme a lui collegate sono state in precedenza associate a benefici finanziari derivanti da attività di riciclaggio legate a hack collegati ai DPRK, incluso l'exploit da 1,5 miliardi di dollari in token Ethereum dell'exploit di Bybit eseguito alla fine di febbraio. 

“JP è una delle persone che ha tratto grandi benefici finanziari dal riciclaggio di hack ed exploit dei DPRK,” ha scritto ZachXBT. “Quindi è un po’ poetico che sia stato ‘rekt’ qui dai DPRK.”

I registri blockchain del 9 settembre rivelano una serie di movimenti di fondi dall'indirizzo del furto, che potrebbero essere stati un tentativo di oscurare la traccia dei fondi. Il primo trasferimento ha coinvolto 6.233.015 token THORChain, che sono stati spostati dal portafoglio compromesso tre giorni fa. 

Quasi immediatamente dopo, un'altra transazione ha inserito 6.233.180 token in un indirizzo contrassegnato come “Fake_Phishing1347722”, un'etichetta associata a riciclaggio e oscuramento legato al phishing.

Ancora nello stesso giorno, l'attaccante ha spostato 6.333.180 token attraverso THORChain, seguito da altri 6.333.333 token, probabilmente ciclando grandi somme su diversi indirizzi, insieme a un pagamento più piccolo di 1.250.000 token è stato inviato.

Il cluster più grande di fondi rubati, ammontante a 2.778.345 token, è infine atterrato nel protocollo Kyber, probabilmente scambiato per creare strati di separazione dalla fonte originale.

Attualmente, la maggior parte dei fondi rubati, del valore di 1,218 milioni di dollari, si trovano in 0x7abc09ab94d6015053f8f41b01614bb6d1cc7647, ha detto ZachXBT nel suo canale Telegram di indagini.

THORChain ha tratto beneficio dal riciclaggio dell'hack di Bybit?

I dati di Arkham Intelligence mostrano che gli hacker dietro l'attacco a Bybit hanno spostato almeno 209.384 ETH, del valore di circa 480 milioni di dollari, in Bitcoin. Questo era più del 50% dei 400.000 ETH stimati rubati dallo scambio. 

I ricercatori blockchain hanno tracciato quasi 1,2 miliardi di dollari in criptovalute illecite, circa l'85% dei fondi persi nell'hack di Bybit, che transitavano attraverso THORChain. Entro i primi giorni dell'incidente, almeno 240 milioni di dollari dei proventi di Bybit sono stati lavati attraverso THORChain e scambiati in BTC, ha riportato Arkham.

Alcuni concorrenti hanno collaborato con le autorità per limitare le transazioni sospette, ma gli operatori di THORChain hanno fatto poco o nulla per bloccare gli indirizzi, nonostante le richieste formali dell'FBI e di altre agenzie. Le applicazioni per portafogli costruite sulla rete, tra cui Asgardex e Vultisig, hanno continuato a elaborare le attività senza interruzioni.

Le società di sicurezza blockchain hanno suggerito che i validatori della rete e gli sviluppatori di portafogli, molti dei quali sono pubblicamente identificabili e operano in giurisdizioni con rigorosi requisiti antiriciclaggio, hanno dichiarato commissioni per oltre 12 milioni di dollari per il riciclaggio dei fondi.

“Il protocollo continua a funzionare e a scambiare nonostante il caos. Sta andando davvero bene,” ha detto Thorbjornsen, presumibilmente difendendo le sue operazioni. All'epoca, THORChain ha registrato il suo giorno di trading più grande di sempre, con più di 737 milioni di dollari di token scambiati sulla rete.