Un CEO di 30 anni muore all'improvviso durante il viaggio di nozze in India. Era l'unico ad avere le chiavi — e 190 milioni di dollari dei clienti restano chiusi per sempre. Sembrava una tragica fatalità. Finché qualcuno non aprì il caveau e scoprì che era vuoto da tempo. Questa è la storia di QuadrigaCX: il re morto, le chiavi sparite e lo schema Ponzi sotto le fondamenta.
Una morte a Jaipur
Dicembre 2018. In un ospedale di Jaipur, in India, muore Gerald Cotten, 30 anni, per complicazioni del morbo di Crohn. È in viaggio di nozze con la moglie appena sposata. Dall'altra parte del mondo, in Canada, nessuno lo sa ancora — e nessuno immagina che con quest'uomo sia morto qualcosa di molto più grande.
Perché Cotten era il capo di QuadrigaCX, il più grande exchange cripto del Canada. E si è portato una cosa nella tomba: le password.
Il Crypto King
QuadrigaCX era la storia di successo delle cripto canadesi. Al culmine gestiva i fondi di circa 76.000 clienti. E Cotten ne era il volto: un tecnico gentile dall'aria da ragazzo che girava il mondo con il portatile, evangelista del bitcoin, sempre reperibile, sempre rassicurante. I clienti gli affidavano i risparmi come si dà la chiave di casa al vicino simpatico.
Quella fiducia era, col senno di poi, esattamente il problema. Perché Cotten non aveva solo la chiave di casa. Aveva l'unica chiave del caveau — e nessuno ha mai controllato che cosa ci fosse dentro.
L'uomo con tutte le chiavi
In QuadrigaCX Cotten era tutto insieme: unico amministratore, unico custode delle chiavi, unico interlocutore. Le cripto dei clienti stavano, così diceva l'azienda, al sicuro in cold wallet — offline, inviolabili. E solo Cotten conosceva le password.
Dopo la sua morte l'exchange era quindi in scacco matto. Circa 190 milioni di dollari di fondi dei clienti erano rinchiusi in wallet che nessuno poteva aprire. La vedova giurò in una dichiarazione sotto giuramento di non avere le password. Il portatile era cifrato. Sembrava la sfortuna più crudele della storia delle cripto: muore un uomo e i soldi di 76.000 persone diventano irraggiungibili per sempre.
Solo che non tornava.
Il caveau vuoto
Quando gli investigatori di Ernst & Young — incaricati di raccogliere i cocci — arrivarono finalmente ai famosi cold wallet, trovarono una cosa che nessuno si aspettava. I caveau erano in gran parte vuoti. E lo erano già da mesi.
Il denaro non era bloccato dietro una password perduta. Semplicemente non c'era più. Gli investigatori ricostruirono oltre 67.000 trasferimenti non autorizzati con cui i fondi dei clienti erano finiti su conti gestiti da Cotten stesso. Il “CEO morto con le chiavi” non era la vittima di una tragedia. Era l'autore di un reato.
La frode sotto le fondamenta
Nel giugno 2020 la Ontario Securities Commission, dopo dieci mesi di indagini, mise a nudo l'intera costruzione. Il verdetto fu devastante, e la frase d'apertura diventò subito leggendaria:
What happened at Quadriga was an old-fashioned fraud wrapped in modern technology.Ontario Securities Commission, rapporto di giugno 2020 provato
I fatti, così come li ha ricostruiti l'autorità: Cotten apriva conti sotto nomi falsi, vi accreditava saldi fittizi — denaro che non esisteva — e con quelli faceva trading contro i suoi stessi clienti veri. Quando quelle posizioni fasulle andavano in perdita, si apriva un buco. E quel buco lo tappava con i soldi di altri clienti: un classico schema Ponzi. Dei circa 169 milioni di dollari di perdite dei clienti, circa 115 milioni derivavano dal trading fraudolento di Cotten — bruciati su altri exchange, con i soldi degli altri.
E non era solo. QuadrigaCX era stata cofondata da un certo “Michael Patryn” — un nome che secondo più inchieste era lo pseudonimo di Omar Dhanani, un uomo con una condanna per frode d'identità alle spalle. L'exchange dove i canadesi mettevano i risparmi era stato costruito, fin dalle fondamenta, da persone che con la verità avevano un rapporto elastico.
La vita di un re
Dove andava il denaro? In una vita che nessun trentenne può permettersi onestamente. Cotten e la moglie comprarono case in tutta la Nuova Scozia e non solo, un aereo, una barca a vela, auto di lusso, e giravano il mondo in business class. Tutto pagato con i depositi di clienti convinti che i loro bitcoin fossero al sicuro in un caveau freddo.
La tomba che nessuno ha aperto
E poi cominciò la teoria del complotto che ha reso immortale questa storia. Perché se il caveau era vuoto e la vita una bugia — quanto potevamo essere certi che Cotten fosse davvero morto? Le circostanze erano quantomeno strane: una morte improvvisa, in un paese lontano, durante il viaggio di nozze, con un certificato di morte su cui il suo nome era scritto male.
Alla fine del 2019 gli avvocati dei clienti danneggiati chiesero formalmente alla polizia canadese di riesumare il corpo — per stabilire con certezza che l'uomo nella tomba fosse davvero Gerald Cotten. La vedova fece sapere di essere “heartbroken” per quella richiesta.
Il corpo non è mai stato riesumato. E così la domanda più grande resta senza risposta: Gerald Cotten è davvero in quella tomba in Nuova Scozia — o è sceso da qualche parte lungo la strada, con le chiavi di un caveau già svuotato?
Il conto
La vedova, Jennifer Robertson, restituì infine buona parte dei beni alla massa fallimentare — case, veicoli, l'aereo, la barca, circa dodici milioni di dollari di proprietà. Ma per i 76.000 clienti era una goccia: alla fine hanno recuperato solo una frazione del loro denaro. La vicenda è diventata un documentario Netflix (Trust No One: The Hunt for the Crypto King) e una pila di libri. Le monete? Perlopiù sparite.
Che cosa ha dimostrato Quadriga
Quadriga è la prova più inquietante di una verità semplice: in un exchange senza vigilanza non esiste nulla — nessuna legge, nessun controllo, nessun backup — che ti protegga da un solo uomo con tutte le chiavi. Non c'era separazione dei fondi dei clienti. Non c'era un secondo amministratore. Non c'era un revisore che avesse mai aperto quel caveau. L'intera costruzione poggiava sulla fiducia in un sorriso da ragazzo.
Ed è esattamente ciò che una normativa come il MiCAR europeo deve rendere impossibile. Un exchange autorizzato deve separare il denaro dei clienti, deve poter dimostrare come lo custodisce, deve avere una governance e controlli seri — nessun “Gerald Cotten” deve poter essere di nuovo l'unico a sapere se il caveau è pieno o vuoto.
Il re è morto, diceva l'annuncio. Ma la vera domanda che Quadriga ha lasciato è quella che dovresti porti davanti a ogni exchange: qualcuno ha mai guardato dentro quel caveau in modo indipendente?
Fonti
Rapporto OSC (“old-fashioned fraud wrapped in modern technology”, Ponzi, conti falsi, ~169 milioni di dollari di perdite): CBC, OSC (rapporto completo, PDF). Morte in India & ~190 milioni bloccati: Fox. Richiesta di riesumazione + reazione della vedova: CBC, Global News. Cold wallet in gran parte vuoti / 67.000 trasferimenti (indagine Ernst & Young): CryptoPotato.