Furto cripto all'exchange "Grinex": bottino da 13 milioni di dollari, accuse alle intelligence occidentali (aggiornato: 19 aprile 2026, ore 15:22)

Un exchange di criptovalute con sede in Kirghizistan, legato a doppio filo con la Russia sanzionata, perde circa 13 milioni di dollari in un attacco informatico e punta il dito contro le agenzie di intelligence occidentali. La storia di Grinex - piattaforma che facilita transazioni tra criptovalute e rubli per utenti russi - ha tutti gli ingredienti di un thriller geopolitico. Ma tra accuse prive di prove e un passato costellato di sanzioni, la narrazione avanzata dall'exchange regge poco a un esame serio.

L'attacco: oltre un miliardo di rubli volatilizzati

L'incidente è emerso di giovedì, quando Grinex ha sospeso tutte le operazioni di scambio. Secondo la società di analisi blockchain Elliptic, circa 15 milioni di dollari in USDT hanno lasciato i portafogli dell'exchange intorno alle 12:00 UTC del mercoledì precedente. I fondi appartenevano a utenti russi - aziende e privati che usavano la piattaforma per operazioni in cripto-rubli.

La cifra esatta del furto oscilla tra i 13,1 e i 13,7 milioni di dollari a seconda delle fonti, una discrepanza verosimilmente legata al momento in cui è stato calcolato il tasso di cambio rublo/dollaro. In rubli si parla di oltre un miliardo.

Chi ha condotto l'attacco conosceva bene i meccanismi di congelamento dei fondi. Gli USDT rubati sono stati rapidamente convertiti in TRX (su rete Tron) o ETH (su Ethereum), passando attraverso il protocollo di scambio decentralizzato SunSwap. La logica è lineare: Tether, l'emittente di USDT, può congelare token su specifici indirizzi - lo ha già fatto con Garantex. Convertire in asset nativi come TRX o ETH elimina questo rischio alla radice.

L'accusa: «intelligence straniera ostile»

Nel comunicato pubblicato sul proprio canale Telegram, Grinex ha attribuito l'attacco a «agenzie di intelligence straniere». Senza margini di ambiguità: «L'impronta digitale e la natura dell'attacco indicano un livello di risorse e tecnologia senza precedenti, accessibile solo a entità di stati ostili». L'obiettivo dell'operazione, secondo l'exchange, sarebbe stato «danneggiare la sovranità finanziaria della Russia».

È un'accusa pesante. Ed è completamente priva di riscontri indipendenti.

Né Elliptic né TRM Labs - le due principali società di intelligence blockchain che hanno tracciato i fondi rubati - hanno pubblicato prove tecniche che colleghino il furto a un attore statale specifico. Il Servizio Segreto degli Stati Uniti ha rifiutato di commentare. Grinex stessa non ha fornito indicatori tecnici di compromissione, né ha identificato un responsabile preciso.

Il fantasma di Garantex

Grinex non è un exchange qualunque. Secondo Elliptic, la piattaforma condivide la «stessa impronta» di Garantex, un exchange russo colpito da sanzioni internazionali il cui sito web è stato sequestrato nel 2025 nell'ambito di un'operazione delle forze dell'ordine guidata dal Servizio Segreto statunitense.

Nel febbraio 2025 l'Unione Europea aveva sanzionato Garantex per i suoi legami con istituti bancari russi sotto sanzioni: Sberbank, T-Bank e Alfa-Bank. Tether aveva poi congelato i portafogli dell'exchange. Grinex è emersa acquisendo clienti e infrastruttura da Garantex, presentandosi come alternativa operativa sotto la giurisdizione della CSI (Comunità degli Stati Indipendenti). Le autorità occidentali l'hanno collegata a operazioni di riciclaggio su larga scala e all'evasione delle sanzioni.

Dopo il passaggio a Grinex, la piattaforma ha dichiarato di aver contribuito a restituire oltre 2,5 miliardi di rubli in criptovalute precedentemente congelate da Tether. Un dettaglio che chiarisce bene il ruolo della piattaforma nell'ecosistema finanziario russo sotto sanzioni.

A7A5: la stablecoin da 100 miliardi

C'è un ulteriore elemento che rende il quadro più complesso. Grinex era la piattaforma di scambio principale per A7A5, una stablecoin ancorata al rublo che Elliptic ha descritto come «creata nell'ambito di uno sforzo di evasione delle sanzioni». Il volume di trasferimenti gestiti dalla stablecoin supera i 100 miliardi di dollari - una cifra che dà la misura dell'importanza strategica di questa infrastruttura per i flussi finanziari russi che cercano di aggirare le restrizioni occidentali.

Attribuzione o diversione?

La domanda centrale è questa: l'accusa verso le intelligence occidentali è credibile o è una manovra difensiva?

Gli elementi a favore della tesi di un attore statale sono sottili. Le risorse impiegate e la tempistica - contro un'infrastruttura finanziaria legata all'evasione delle sanzioni russe - potrebbero in teoria essere coerenti con un'operazione governativa. Il contesto geopolitico non rende l'ipotesi del tutto peregrina.

Ma le prove puntano altrove. Convertire immediatamente USDT in token non congelabili tramite protocolli decentralizzati è pratica comune tra gruppi criminali specializzati in furti di criptovalute. Non c'è nulla in questa catena di operazioni che richieda le capacità di un'agenzia di intelligence statale. E l'assenza totale di indicatori tecnici condivisi da Grinex - nessun indirizzo IP, nessun vettore d'attacco dettagliato, nessuna analisi forense pubblica - rende l'attribuzione poco più di una dichiarazione politica.

C'è poi un incentivo strutturale alla narrazione scelta. Grinex opera sotto il costante scrutinio delle autorità occidentali come probabile erede di un exchange sanzionato. Presentarsi come vittima di un'aggressione statale straniera serve a ribaltare i ruoli: da soggetto sotto indagine per riciclaggio e evasione delle sanzioni a bersaglio di un attacco alla sovranità finanziaria russa. È una cornice comoda, soprattutto per il pubblico interno.

Cosa resta agli utenti

Al di là delle attribuzioni geopolitiche, i fondi di utenti russi - aziende e privati - sono stati sottratti e le operazioni dell'exchange restano sospese. Grinex ha dichiarato di aver sporto denuncia nella giurisdizione in cui si trova la propria infrastruttura, di collaborare con le autorità e ha pubblicato l'elenco dei portafogli da cui sono stati rubati i fondi.

Per gli utenti della piattaforma le prospettive di recupero sono scarse. Un exchange operante in una zona grigia normativa, privo del supporto delle istituzioni finanziarie occidentali e attivamente nel mirino delle sanzioni internazionali, non dispone esattamente di una rete di sicurezza robusta a cui appoggiarsi.

La vicenda Grinex è un promemoria brutale: nel mondo delle criptovalute, la scelta della piattaforma a cui affidare i propri fondi è già di per sé una decisione di rischio. Quando quell'exchange è il successore di un'entità sanzionata, opera ai margini del sistema finanziario globale e risponde a un attacco con accuse geopolitiche anziché con prove forensi, quel rischio si materializza nel modo più doloroso possibile.

Fonti: securityaffairs.com, hendryadrian.com, gncrypto.news