Quando il fornitore di attribuzione è il bersaglio: Chainalysis

Venerdì 31 ottobre 2026 Chainalysis ha pubblicato il testo integrale della notifica inviata ai propri clienti: un aggressore non identificato, utilizzando “tecniche agentiche offensive”, è entrato nei suoi sistemi e strumenti interni nel corso del mese e ha avuto accesso a identificativi utente, nomi completi, indirizzi e-mail ed etichette di ruolo organizzativo degli account attivi sulla sua piattaforma. L’azienda sostiene che, sulla base delle evidenze disponibili, non ci sono indizi di accesso ai contenuti delle indagini — grafi, note, casi —, ai risultati delle query, alle password in chiaro, ai segreti MFA o ai token di sessione. Non ha detto quando ha rilevato l’intrusione, quanti clienti sono stati coinvolti, quali vulnerabilità sono state sfruttate né quale ruolo esatto abbiano avuto gli agenti di IA. Ha rifiutato di rispondere alle domande di approfondimento di The Block.

Il dettaglio rilevante non è il volume dei dati. È chi sono i clienti di Chainalysis e per che cosa usano la piattaforma: unità di intelligence finanziaria, procure, team di compliance di exchange e banche, dipartimenti di rischio dei protocolli. Un elenco di nomi, e-mail aziendali e ruoli di quell’universo non è “dato non sensibile”: è una mappa di bersagli per la fase successiva, con il ruolo già etichettato per decidere chi impersonare e a chi inviare la richiesta di reimpostazione della password. La stessa società raccomanda agli interessati di attivare il doppio fattore e di sorvegliare richieste di autenticazione inattese, il che descrive con una certa precisione l’attacco che si aspetta.

Lo strato che nessuno aveva modellato come bersaglio

Per un decennio il modello di minaccia del settore è stato quello della catena: chiavi private, bridge, contratti, oracoli. Ciò che è cambiato nel 2026 è che la superficie che conta davvero non è più on-chain. È nel perimetro privato che circonda la catena e che produce fiducia come servizio: le società di analisi forense che attribuiscono i furti, i feed di rischio che alimentano i controlli di compliance, i registrar che risolvono il dominio di un front-end, le estensioni di IA da cui si scrive il codice. Quello strato è più economico da violare della crittografia e offre un rendimento operativo molto più alto per unità di sforzo.

La settimana lo ha dimostrato su tre fronti distinti e, formalmente, scollegati. Chainalysis, compromessa tramite automazione offensiva. L’estensione ufficiale di Anthropic per VS Code sul marketplace di Cursor, trojanizzata per quasi dodici ore: la versione 2.1.313 è stata pubblicata dall’account ufficiale di Anthropic, ha colpito un massimo di 5.000 utenti a causa dell’aggiornamento automatico e cercava di installare una backdoor SSH persistente con tunnel inverso e beacon ogni 60 secondi. Tra ciò che raccoglieva c’erano i nomi delle variabili d’ambiente, un inventario rapido di credenziali cloud e token API per decidere quali macchine meritino una seconda visita. Né Cursor né Anthropic hanno spiegato come sia stato preso il controllo dell’account. E, in parallelo, una dozzina di front-end DeFi dirottati attraverso Name.com, con un bottino modesto di circa 138.000 dollari ma un meccanismo identico: non è stato attaccato alcun contratto, è stato attaccato l’intermediario che dice dove vive il contratto.

Tre incidenti, uno schema: l’aggressore non rompe il sistema, rompe chi lo certifica.

Il furto a Binance e l’economia del congelamento

Mentre gestiva la propria violazione — che dice non essere collegata —, Chainalysis seguiva le tracce del più grande furto nella storia del settore: circa 6,3 miliardi di dollari sottratti a Binance, che la stessa società quantifica in 6,4. Chainalysis, Elliptic e TRM hanno attribuito l’attacco a gruppi nordcoreani; l’FBI ha confermato quella paternità e ha chiesto alla comunità DeFi di bloccare indirizzi su BTC, ETH e SOL. Secondo Binance, il vettore è stato il portatile compromesso di un ingegnere e l’accesso a un container di servizio, anche se il co-CEO Richard Teng ha precisato che la vicenda è stata più complessa dei permessi di un singolo dipendente. Su Ethereum l’aggressore ha usato EIP-7702 per trasformare un hot wallet in uno sweeper; il contratto contava circa 130 righe. Come ha riassunto Simone Imbrescia, di Immunefi: la parte difficile non è il codice, è ottenere l’accesso che trasforma un codice banale in qualcosa di devastante.

Ciò che è venuto dopo spiega perché lo strato di attribuzione conti così tanto. Chainalysis ha descritto schemi di riciclaggio “mai visti”: migliaia di transazioni in poco tempo, con i fondi che circolano in loop tra indirizzi nuovi e vecchi invece di avanzare linearmente. È automazione contro automazione: rumore progettato per saturare il grafo che l’analista costruisce. E, soprattutto, una rotta specifica per neutralizzare l’unico meccanismo che ha davvero funzionato: gli aggressori hanno scambiato TRX con diverse stablecoin su Tron, le hanno depositate in un protocollo di prestito — identificato dagli analisti Specter e Ian Unsworth come JustLend — e hanno ricevuto token di ricevuta che gli emittenti non possono congelare. Hanno spostato quelle ricevute su wallet puliti, le hanno riscattate in stablecoin e le hanno portate fuori da Tron via bridge, convertendole in ETH dall’altra parte. Circa 2,8 miliardi in stablecoin sono già stati congelati da Circle, Tether e altri; quella cifra è la misura esatta della posta in gioco.

Qui il cerchio si chiude. Il congelamento delle stablecoin è diventato uno strumento quasi monetario: un potere amministrativo capace di annullare saldi denominati in dollari sintetici senza passare da un tribunale, esercitato da emittenti privati a partire da liste di indirizzi prodotte da un altro insieme di attori privati, e attivato da una richiesta pubblica — quella dell’FBI alla DeFi — che non ha la forma giuridica di un ordine. L’intero apparato sanzionatorio applicato al cripto poggia su una catena di attribuzione privata: un analista etichetta un cluster, un fornitore lo impacchetta in un feed, un emittente congela, un protocollo blocca. La crittografia garantisce il regolamento; la fiducia la mette un’azienda. E quell’azienda ha appena ammesso che un intruso dotato di agenti è stato dentro i suoi strumenti interni.

Che succede se questa lettura è esagerata

Ci sono ragioni serie per non sovrainterpretare. Primo: da quanto Chainalysis ha pubblicato, non c’è alcun indizio di manipolazione dei dati d’indagine né di alterazione di etichette o feed di rischio; l’accesso descritto è in sola lettura e riguarda informazioni di profilo. Secondo: l’attribuzione dell’hack di Binance non dipende da un unico fornitore — Chainalysis, Elliptic e TRM sono arrivate separatamente alla stessa conclusione, e l’FBI l’ha confermata con fonti proprie —, ed è esattamente il tipo di ridondanza che un punto unico di fallo non avrebbe. Terzo: “tecniche agentiche offensive” è un’espressione priva di contenuto tecnico verificabile finché l’azienda non spiega che cosa abbia fatto l’agente; può descrivere qualsiasi cosa, da uno scanner di vulnerabilità con LLM all’automazione di un phishing convenzionale. Il fatto che la stessa nota dica che la società sta usando modelli linguistici per la propria revisione di sicurezza invita a leggere il termine con cautela: c’è un incentivo evidente a inquadrare un’intrusione come novità tecnologica e non come igiene di base venuta meno.

L’obiezione di fondo è più interessante: forse il problema non è l’IA, ma la concentrazione. Un settore con tre fornitori di attribuzione rilevanti e una manciata di registrar avrebbe lo stesso rischio sistemico anche con aggressori umani. L’IA agentica non crea la fragilità; ne abbassa il costo di sfruttamento e riduce il tempo tra ricognizione e azione, che è esattamente ciò che si vede nei dodici minuti di automazione del riciclaggio e nelle dodici ore dell’estensione trojanizzata.

Che cosa cambia per chi costruisce o investe

Il piano operativo è immediato. Se il tuo controllo di compliance consuma un feed di indirizzi di un unico fornitore e lo applica senza registrazione, non hai un controllo: hai una dipendenza. Il minimo esigibile nel 2026 è conservare il diff storico di ogni lista, con marca temporale e firma del fornitore, in modo che un inserimento o una rimozione anomala di indirizzi sia rilevabile a posteriori; incrociare almeno due fonti prima di bloccare i fondi degli utenti; e definire per iscritto la procedura di reversione di un falso positivo, perché il rischio di un feed contaminato non è solo lasciar passare fondi nordcoreani, ma congelare quelli di un cliente legittimo senza una base giuridica propria.

Sul lato prodotto, la lezione di Cursor e di Name.com è che il perimetro di un’applicazione cripto comprende il suo registrar di dominio, la sua catena di dipendenze e l’IDE dei suoi sviluppatori. Fissare le versioni delle estensioni invece di aggiornarle automaticamente, bloccare la registrazione dei domini, separare le credenziali cloud dall’ambiente in cui gira un assistente di IA con permessi di IDE: sono misure noiose che valgono più di un’ulteriore audit dei contratti, perché l’aggressore da 6,4 miliardi è entrato da un portatile, non dal bytecode.

E per chi investe: la tesi secondo cui l’analisi on-chain è un business difensivo perché è “infrastruttura di compliance” è appena diventata più cara. Un fornitore di rilievo in un sistema sanzionatorio delegato è, per definizione, un obiettivo di intelligence ad alto valore, con un costo di sicurezza che assomiglia più a quello di un contractor della difesa che a quello di un’azienda SaaS. Nessuno ha ancora messo un prezzo a quella passività.