Definire un furto di 320 milioni di dollari come un’operazione ‘white hat’ è un po’ come dire che un incendio boschivo è solo un modo molto energico per fare giardinaggio. Eppure, ecco cosa è successo nel mondo crypto di recente: un gruppo di soggetti non proprio identificabili ha svuotato il Liquid Network di Bitcoin, ma con una particolarica (e decisamente poco etica) etica professionale, decidendo di restituire 47 milioni di dollari.
Per chi non mastica blockchain tutto il giorno, Liquid è una sidechain di Bitcoin pensata per le transazioni veloci e private. In pratica, un layer dove tutto dovrebbe essere più fluido. Beh, la fluidità qui è stata decisamente eccessiva. Gli hacker sono riusciti a drenare una cifra che farebbe impallidire il fatturato di una piccola multinazionale italiana, ma la parte che fa venire il sorriso amaro è la loro ‘generosità’. Dopo aver svaligiato la cassaforte, hanno lasciato indietro circa il 15% del bottino. Una sorta di commissione di gestione per il disturbo, immagino.
Questa narrazione da Robin Hood, che ruba ai ricchi (o almeno ai protocolli decentralizzati) per restituire un po’ di monete, è un classico dei film d’azione, ma nella realtà della cybersecurity è solo un modo per complicare le indagini. Chiamarla ‘operazione white hat’ è un colpo di marketing degno di una startup della Silicon Valley che promette di rivoluzionare il mondo con un’app di delivery per avocado. Se ti tieni 47 milioni, non sei un ricercatore di sicurezza che sta cercando di patchare una vulnerabilità; sei uno che ha appena vinto alla lotteria usando un exploit.
Certo, c’è da ammirare la tecnica. Far saltare in aria un sistema di questo livello richiede una competenza che va ben oltre il semplice script scaricato da un forum oscuro. È pura ingegneria del caos. Per noi che amiamo smontare i sistemi per capire come funzionano, vedere un exploit che riesce a spostare cifre simili è un segnale d’allarme brutale: la superficie di attacco delle infrastrutture che consideriamo ‘sicure’ è molto più ampia di quanto ci piaccia ammettere.
Ovviamente, restando in Italia, ci chiediamo: che fine faranno questi milioni? Probabilmente in qualche mixer decentralizzato, sperando che le autorità non capiscano mai dove finisce il flusso. Ma non aspettatevi che la legge arrivi a risolvere il problema con un decreto legge. In questo playground digitale, l’unica vera regola è che se non hai blindato il codice, qualcuno prima o poi troverà la chiave giusta per entrare e, se è in vena di generosità, lascerà pure la mancia.