L’hack di Liquid da 320 milioni di dollari mette l’identità al centro
L’hack di Liquid Network e le recenti fughe di dati su Trezor e altre realtà sottolineano che i dati KYC sono spesso più difficili da recuperare del bitcoin rubato.
In breve
- Liquid Network ha perso circa 320 milioni di dollari in un solo exploit il 7 settembre.
- Evin McMullen sostiene che il bitcoin rubato a volte si può ancora tracciare, ma i dati d’identità trapelati sono quasi impossibili da recuperare.
- Avverte che le aziende crypto archiviano troppi dati personali, mentre gli AI agents aumentano il rischio di nuove fughe di dati.
L’hack da circa 320 milioni di dollari (€277 milioni) su Liquid Network mette al centro, secondo Evin McMullen, non solo la sicurezza del settore crypto, ma soprattutto la differenza tra il furto onchain reversibile e il danno permanente all’identità. Il CEO e cofondatore di Billions afferma che il bitcoin rubato a volte si può ancora tracciare o restituire, mentre nomi, indirizzi e numeri di documento trapelati sono molto più difficili da recuperare.
Hack di Liquid e fughe di dati
Il 7 settembre una blockchain che sposta bitcoin tra exchange ha perso circa 320 milioni di dollari in un solo exploit. In base al contesto dell’incidente, si tratta della Liquid Network, una sidechain di Bitcoin di Blockstream. Gli attaccanti si sarebbero presentati come cosiddetti white-hat hacker e avrebbero persino lasciato un messaggio in una transazione Bitcoin in cui chiedevano a Liquid di affrontare una vulnerabilità specifica.
Allo stesso tempo, Trezor ha comunicato che altri 67.000 clienti sono stati colpiti da una fuga di nomi, numeri di telefono e indirizzi di casa tramite un partner di spedizione. In un incidente separato, circa 200.000 record sono finiti online, con numeri di documenti governativi insieme agli indirizzi wallet verificati. McMullen fa anche notare che i dati degli indirizzi sottratti nel 2020 a un produttore di hardware wallet vengono ancora oggi sfruttati per posta in lettere truffa su bitcoin. Anche una fuga di dati più ampia presso un broker mostra quanto rapidamente i dati d’identità e gli indirizzi wallet possano trasformarsi insieme in un rischio di lunga durata.
Perché l’identità pesa di più
Il punto centrale del suo ragionamento è che le aziende crypto spesso raccolgono più identità del necessario. Gli exchange crypto, i produttori di hardware wallet e gli on-ramp chiedono documenti, indirizzi e altri dati sensibili, diventando così un bersaglio molto appetibile per gli attaccanti. Secondo McMullen, questo è un problema strutturale, perché una caratteristica verificata di un cliente può essere confermata anche senza conservare un dossier completo sull’identità.
A questo contrappone un modello in cui si dimostra solo che qualcuno è, per esempio, un cliente reale e non sanzionato, senza che un passaporto resti salvato su un server. Per lui questo è ancora più importante ora che sempre più software agirà per conto delle persone.
Gli AI agents aumentano il rischio
McMullen avverte che l’ascesa degli AI agents può aumentare ulteriormente la pressione su questo modello. Se questi agenti in futuro faranno pagamenti per conto delle persone portandosi dietro ogni volta l’identità completa del proprietario, secondo lui potrebbero nascere non poche, ma miliardi di nuove honeypot. Per i lettori crypto europei, questo tocca un dibattito più ampio su privacy, KYC e sul modo in cui exchange e wallet conservano i dati.
Il suo punto finale è netto: i 320 milioni di dollari (€277 milioni) in bitcoin rubati potrebbero forse tornare indietro, ma indirizzi, ID e volti no. Così la discussione si sposta dalla sola sicurezza dei wallet alla domanda su quanti dati personali l’infrastruttura crypto dovrebbe davvero conservare.
