Caso Coinbase: cosa sappiamo dell’attore che sposta i fondi rubati attraverso Tornado Cash
L’ultimo movimento segnalato, del 16 agosto, riguarda circa 500.000 dollari convertiti in Ether e inviati attraverso Tornado Cash, dopo un trasferimento analogo da circa 2 milioni di dollari avvenuto tre settimane prima. I furti segnalati sarebbero stati realizzati con false chiamate del supporto Coinbase e altre te...
L’ultimo movimento segnalato, del 16 agosto, riguarda circa 500.000 dollari convertiti in Ether e inviati attraverso Tornado Cash, dopo un trasferimento analogo da circa 2 milioni di dollari avvenuto tre settimane prima.
I furti segnalati sarebbero stati realizzati con false chiamate del supporto Coinbase e altre tecniche di ingegneria sociale, non sfruttando una vulnerabilità di uno smart contract Coinbase.
Tornado Cash rende più difficile seguire il percorso delle transazioni, ma non cancella la cronologia della blockchain: tempi, importi, comportamenti dei wallet e passaggi verso gli exchange possono ancora offrire ele...
What is known about the threat actor linked to more than $300 million in reported thefts from Coinbase users—including the latest August 16The reported Coinbase-user thefts highlight how support impersonation and blockchain obfuscation can work together.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What is known about the threat actor linked to more than $300 million in reported thefts from Coinbase users—including the latest August 16. Article summary: The evidence points to an unidentified, financially motivated phishing/social-engineering operator or cluster—not a confirmed Coinbase smart-contract exploiter. Public on-chain attribution is suggestive rather than dispo. Topic tags: general, general web, user generated, education, news. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks
openai.com
Le prove pubbliche più solide indicano un operatore, o forse un gruppo di operatori, motivato dal profitto e specializzato in phishing e ingegneria sociale. Non c’è invece conferma che si tratti di qualcuno che abbia sfruttato uno smart contract di Coinbase.
Secondo i resoconti pubblicati dopo gli ultimi movimenti, il 16 agosto circa 500.000 dollari in criptovalute sarebbero stati convertiti in Ether e trasferiti attraverso Tornado Cash. Un movimento simile, per circa 2 milioni di dollari, sarebbe avvenuto tre settimane prima. Nei wallet collegati resterebbero ancora decine di milioni di dollari.
L’attribuzione, però, resta provvisoria. Etichette blockchain come “Coinbase hacker” descrivono un’ipotesi degli analisti, non un accertamento giudiziario. La cifra di oltre 300 milioni di dollari è una stima complessiva di investigatori o media e non dimostra che tutti i furti ai danni degli utenti Coinbase siano opera della stessa persona o dello stesso gruppo.
Come sarebbero stati realizzati i furti agli utenti Coinbase
Il modello dell’operazione appare soprattutto umano, non basato sul codice. Le vittime sarebbero state contattate da truffatori che si spacciavano per operatori dell’assistenza Coinbase. Gli impostori potevano poi convincerle a rivelare credenziali, approvare transazioni, trasferire asset o cedere in altro modo il controllo dei propri account. I resoconti sulla campagna la distinguono esplicitamente da un exploit di uno smart contract.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Caso Coinbase: cosa sappiamo dell’attore che sposta i fondi rubati attraverso Tornado Cash"?
L’ultimo movimento segnalato, del 16 agosto, riguarda circa 500.000 dollari convertiti in Ether e inviati attraverso Tornado Cash, dopo un trasferimento analogo da circa 2 milioni di dollari avvenuto tre settimane prima.
What are the key points to validate first?
L’ultimo movimento segnalato, del 16 agosto, riguarda circa 500.000 dollari convertiti in Ether e inviati attraverso Tornado Cash, dopo un trasferimento analogo da circa 2 milioni di dollari avvenuto tre settimane prima. I furti segnalati sarebbero stati realizzati con false chiamate del supporto Coinbase e altre tecniche di ingegneria sociale, non sfruttando una vulnerabilità di uno smart contract Coinbase.
What should I do next in practice?
Tornado Cash rende più difficile seguire il percorso delle transazioni, ma non cancella la cronologia della blockchain: tempi, importi, comportamenti dei wallet e passaggi verso gli exchange possono ancora offrire ele...
La differenza è importante. In un attacco a uno smart contract, l’aggressore sfrutta in genere un difetto nella logica di un’applicazione che opera on-chain. In una truffa basata sull’impersonificazione dell’assistenza, invece, l’aggressore manipola il titolare dell’account affinché autorizzi o renda possibile il trasferimento.
Il punto debole non è quindi necessariamente l’infrastruttura tecnica, ma la fiducia dell’utente e la sua capacità di valutare la situazione sotto pressione. Dettagli personali plausibili e un falso senso di urgenza possono rendere la frode particolarmente convincente.
Cosa raccontano le stime sulle perdite
Nel febbraio 2025, gli investigatori blockchain ZachXBT e tanuki42 hanno riferito di oltre 65 milioni di dollari persi dagli utenti Coinbase tra dicembre 2024 e gennaio 2025. I due hanno stimato che le perdite annuali legate a truffe simili di ingegneria sociale potessero superare i 300 milioni di dollari. La loro analisi comprendeva segnalazioni delle vittime e attività on-chain, ma riconosceva anche che i dati disponibili erano incompleti.
Un rapporto successivo ha attribuito circa 45 milioni di dollari di ulteriori perdite a utenti Coinbase nel corso di una sola settimana di maggio 2025, in attacchi coordinati di ingegneria sociale.
Queste cifre rafforzano l’idea di campagne persistenti e organizzate. Da sole, però, non dimostrano che tutti gli episodi segnalati siano stati gestiti dallo stesso operatore dei wallet. In un’indagine, inoltre, è stato individuato un indirizzo di consolidamento associato a più di 25 vittime. Raggruppamenti di questo tipo possono aiutare a collegare le transazioni e a riconoscere uno schema, ma rappresentano ancora un’attribuzione indiretta, non la prova dell’identità reale dell’autore.
La violazione dei dati Coinbase è un contesto rilevante, ma il collegamento non è provato
Nel maggio 2025 Coinbase ha comunicato che alcuni criminali avevano corrotto addetti esterni del servizio clienti operanti all’estero per ottenere informazioni sui clienti. Secondo la società, i dati rubati dovevano servire a impersonare Coinbase e a convincere gli utenti a inviare le proprie criptovalute. Coinbase ha stimato costi di risposta all’incidente e rimborsi volontari compresi tra 180 e 400 milioni di dollari.
Informazioni come nome, recapiti o dati dell’account possono rendere una falsa chiamata dell’assistenza molto più credibile. Tuttavia, le prove pubbliche citate in questo caso non dimostrano che i criminali responsabili dell’incidente interno sui dati fossero le stesse persone che controllavano i wallet collegati alle più ampie segnalazioni di furto.
I due episodi vanno quindi considerati come elementi di uno stesso contesto di rischio, non come una comune attribuzione già confermata.
Il messaggio a ZachXBT: una provocazione, non un’identificazione
Nel maggio 2025, un wallet collegato dagli investigatori a campagne di phishing contro utenti Coinbase avrebbe scambiato circa 42,5 milioni di dollari in Bitcoin con Ether attraverso THORChain. Lo stesso wallet avrebbe inviato a ZachXBT un messaggio on-chain con la frase “L bozo”.
Il messaggio mostra che chi controllava il wallet era disposto a provocare pubblicamente l’investigatore. Non consente però di stabilire il nome, il luogo o il legame di quella persona con ogni altro furto attribuito alla campagna.
Perché Tornado Cash complica il recupero dei fondi
Un mixer di criptovalute è progettato per rendere meno immediato il collegamento tra un deposito e un successivo prelievo. Tornado Cash utilizza pool condivisi e meccanismi di transazione orientati alla privacy: i fondi depositati da un indirizzo possono essere prelevati in seguito verso un indirizzo diverso.
La blockchain non scompare, ma il semplice percorso “deposito-prelievo” diventa molto più difficile da dimostrare. Gli investigatori possono ancora analizzare orari, importi, comportamenti ripetuti dei wallet, bridge, exchange decentralizzati e indirizzi di deposito presso piattaforme centralizzate. Questi elementi possono produrre correlazioni utili.
Una correlazione, però, non equivale sempre a identificare la persona che ha effettuato un prelievo né basta necessariamente a convincere un exchange o un tribunale a bloccare i fondi. Più a lungo gli asset restano fuori da un intermediario tracciabile, più complesso può diventare recuperarli.
Cosa ha stabilito la sentenza del novembre 2024
Il 26 novembre 2024 la Corte d’Appello degli Stati Uniti per il Quinto Circuito ha stabilito che l’Office of Foreign Assets Control, l’ufficio del Dipartimento del Tesoro statunitense noto come OFAC, aveva oltrepassato la propria autorità legale sanzionando gli smart contract immutabili di Tornado Cash. Secondo la corte, quei contratti non erano “proprietà” suscettibile di blocco ai sensi della legge applicabile.
La decisione riguardava la base giuridica di quelle sanzioni. Non ha legalizzato il furto o il riciclaggio di denaro, non ha cancellato eventuali responsabilità penali e non garantisce che i fondi inviati attraverso un mixer possano essere recuperati. Inoltre, l’uso sospetto di un mixer non dimostra automaticamente né l’innocenza né la colpevolezza di qualcuno. La questione delle sanzioni e quella dell’eventuale uso criminale sono separate.
La lezione pratica per gli utenti Coinbase
Il rischio più persistente emerso da questo caso non è un misterioso guasto nella blockchain di Coinbase. È una persona credibile dall’altra parte di una telefonata, di un messaggio o di un link.
Gli utenti dovrebbero:
considerare ostili le chiamate, gli SMS e i messaggi privati non richiesti che dichiarano di provenire dall’assistenza Coinbase;
non comunicare mai password, seed phrase, codici monouso o chiavi private;
non concedere l’accesso remoto al proprio dispositivo su richiesta di un presunto operatore;
evitare di aprire link di assistenza ricevuti in messaggi inattesi;
aprire autonomamente l’app ufficiale Coinbase o digitare direttamente l’indirizzo del sito prima di chiedere aiuto;
in caso di furto, conservare messaggi, numeri di telefono, indirizzi dei wallet e hash delle transazioni e segnalare subito l’incidente.
I movimenti del 16 agosto indicano che i fondi associati alla campagna segnalata continuano a essere attivi. La conclusione più importante, tuttavia, è più semplice: l’ingegneria sociale può aggirare anche controlli tecnici solidi quando un aggressore riesce a convincere un utente legittimo ad autorizzare il trasferimento.
