Nel 2016, in una sola intrusione, quasi 120.000 bitcoin sparirono dall'exchange Bitfinex. Per sei anni il ladro sembrò introvabile — finché l'FBI non aprì un file nel cloud e mise a segno il più grande sequestro di denaro nella storia degli Stati Uniti. Il colpevole era un imprenditore tech, e sua moglie una rapper eccentrica che si faceva chiamare “il Coccodrillo di Wall Street”. Questa è la storia del colpo a Bitfinex e di Razzlekhan: come la blockchain non ha mai dimenticato.
L'intrusione
Agosto 2016. Bitfinex, uno dei più grandi exchange di bitcoin al mondo, con sede a Hong Kong, viene aperto dall'interno. Un attaccante sfrutta una falla nella sicurezza e in poco tempo sposta circa 119.754 bitcoin su wallet che controlla lui. Valore in quel momento: circa 72 milioni di dollari.
La notizia esplode come una bomba. Il prezzo del bitcoin scende quello stesso giorno di circa il 20%. È uno dei furti più grandi ai danni di un exchange dai tempi di Mt. Gox, e il messaggio è di nuovo lo stesso: le tue monete su un exchange sono sicure quanto l'anello più debole del suo codice. Ma ciò che rende unico questo caso non è l'intrusione. È quello che per sei anni non è successo — e poi, all'improvviso, sì.
Chi ha pagato il conto
Il primo a incassare il colpo non fu il ladro, ma il cliente. Bitfinex scelse di spalmare la perdita su tutti gli utenti: chiunque — anche chi non aveva nulla a che fare con i wallet violati — ci rimise circa il 36% del proprio saldo. In cambio i clienti ricevettero i cosiddetti token BFX, che l'azienda in seguito riacquistò o convertì in azioni.
Alla fine, quindi, quei clienti ne uscirono — ma tieni a mente il principio: in un exchange non autorizzato, senza obbligo di separare o coprire il denaro dei clienti, un hack può significare che sei tu a contribuire al furto subito da un altro. Non sei un risparmiatore protetto; sei un corresponsabile del rischio.
Sei anni di silenzio
Dopo l'intrusione successe una cosa strana: quasi nulla. I bitcoin rubati rimasero in gran parte fermi nei wallet del ladro. Gli analisti on-chain tennero d'occhio quegli indirizzi per anni come fossero una bomba a orologeria — chiunque poteva vedere che il denaro era lì, perché la blockchain è pubblica, ma nessuno sapeva chi avesse le chiavi.
E mentre stava lì, quel denaro non faceva che aumentare di valore. Il bottino che nel 2016 valeva circa 72 milioni di dollari, con la crescita del prezzo del bitcoin arrivò a valere miliardi. Il ladro era seduto su una fortuna che non osava toccare. Perché ogni volta che avesse spostato una moneta avrebbe lasciato una traccia destinata a non sparire mai più.
La coppia più improbabile
Il ladro era Ilya Lichtenstein, soprannominato “Dutch”: imprenditore tech americano nato in Russia, il tipo d'uomo anonimo che a un aperitivo di start-up ignoreresti. Ma il volto che il mondo avrebbe ricordato era quello di sua moglie.
Heather Morgan di giorno era una donna d'affari e — non è uno scherzo — un'esperta attiva su LinkedIn e Forbes che scriveva di come le aziende dovessero proteggersi da cybercriminali e frodi. Di sera era “Razzlekhan”, rapper autoproclamata che si definiva il “Coccodrillo di Wall Street” e girava videoclip stralunati per le strade di New York, compreso un pontificale piazzamento davanti al New York Stock Exchange.
Si faceva chiamare il Coccodrillo di Wall Street — e intanto scriveva per Forbes un articolo su come combattere frodi e cybercrimine.La persona pubblica di Heather ‘Razzlekhan’ Morgan provato
L'ironia era perfetta: una donna che si presentava come consulente anti-cybercrimine aiutava in segreto a riciclare il ricavato di uno dei più grandi furti informatici di sempre. Quando il caso scoppiò, i suoi disastrosi video rap diventarono virali in un giorno — ma la storia vera stava nella blockchain.
La lavatrice
Dal 2017 circa la coppia iniziò a spostare il bottino, e lo fece con un arsenale di trucchi che l'incriminazione avrebbe poi descritto nei minimi dettagli. Spezzettarono il flusso in migliaia di piccole transazioni (chain-hopping), fecero passare monete per mercati del darknet come AlphaBay e Hydra, aprirono conti sotto false identità, convertirono bitcoin in altre valute e viceversa, e trasformarono una parte in oro fisico.
Quell'oro prese una piega quasi da favola: una parte fu convertita in monete d'oro che Morgan seppellì letteralmente. Gli investigatori le avrebbero poi dissotterrate in una località della California. C'erano perfino buoni regalo di Walmart. Era riciclaggio giocato come un videogioco — ed è proprio quel gusto per il gioco a diventare la loro rovina, perché ogni mossa restava incisa in modo indelebile nel registro.
Il file nel cloud
La svolta non arrivò con un'irruzione, ma con una schermata di login. All'inizio del 2022 gli investigatori ottennero, con un mandato, l'accesso a un account di cloud storage di Lichtenstein. Lì dentro trovarono l'inimmaginabile: un file con l'elenco di oltre 2.000 indirizzi di wallet su cui stavano i bitcoin rubati — complete delle relative chiavi private.
Il ladro aveva conservato le chiavi del proprio caveau in un file nel cloud. Un login, e la partita era finita.
Con quelle chiavi le autorità poterono fare ciò che il ladro stesso non aveva osato: spostare il denaro. In un colpo solo recuperarono circa 94.000 bitcoin. Sei anni di intoccabilità finiti per un file di testo.
Il sequestro più grande di sempre
L'8 febbraio 2022 Ilya Lichtenstein e Heather Morgan furono arrestati a New York. Il Dipartimento di Giustizia americano annunciò di aver sequestrato bitcoin per un valore di circa 3,6 miliardi di dollari — all'epoca il più grande sequestro finanziario nella storia del dipartimento. In seguito si aggiunsero altre centinaia di milioni.
Il “Coccodrillo di Wall Street” e suo marito, convinti di aver commesso il delitto perfetto, si ritrovarono improvvisamente in cella — incastrati proprio dalla tecnologia che credevano di aver battuto.
La sentenza
Nell'agosto 2023 entrambi si dichiararono colpevoli di associazione per riciclaggio, e Lichtenstein ammise di essere l'autore originario dell'hack a Bitfinex. Nel novembre 2024 arrivarono le condanne: cinque anni di carcere per Ilya Lichtenstein, diciotto mesi per Heather Morgan. Grazie all'aumento del prezzo del bitcoin, lo Stato aveva nel frattempo recuperato valore rubato per circa dieci miliardi di dollari — di gran lunga il più grande recupero di sempre.
La vicenda è diventata, inevitabilmente, un documentario Netflix. Ma il significato duraturo non sta nei video rap né nell'oro sepolto. Sta in quei sei anni in cui il denaro sembrava intoccabile, e in quell'unico login che ha disfatto tutto.
Che cosa ha dimostrato il colpo
Il colpo a Bitfinex smonta il più grande mito sulle cripto: che siano anonime. È vero il contrario. La blockchain è una memoria pubblica e permanente — ogni moneta che la coppia ha spostato ha lasciato una traccia che li ha aspettati pazientemente per sei anni. Non sono stati presi nonostante la tecnologia, ma grazie alla tecnologia. Per chi crede che le cripto rubate spariscano e basta: quei ladri erano seduti su miliardi che a stento potevano spendere.
E c'è una seconda lezione, per chi sceglie dove custodire le proprie monete. Quando Bitfinex fu violata, furono i clienti a ricevere il conto — un taglio forzato del 36% sul saldo di ciascuno. Confrontalo con il modo in cui Bybit, nel 2025, ha assorbito un hack ancora più grande senza che un solo cliente perdesse qualcosa. La differenza sta nelle riserve, nella trasparenza e nella domanda se il denaro dei clienti è protetto. È esattamente per questo che la normativa europea MiCAR impone a un exchange autorizzato di separare il denaro dei clienti dal proprio patrimonio e di custodirlo in modo dimostrabile — così che il conto di un'intrusione non finisca in silenzio sul tuo tavolo.
Il Coccodrillo di Wall Street pensava di essere più furba del sistema. Ma il registro non dimentica nulla, e il caveau di un ladro è fragile quanto un file custodito male. La domanda che questo colpo lascia è doppia: quanto è solida la sicurezza del tuo exchange — e chi paga i danni se le cose vanno comunque storte?
Fonti
Ammissioni di colpevolezza & metodi di riciclaggio (chain-hopping, AlphaBay/Hydra, false identità, oro): US DOJ. Arresto + sequestro da 3,6 miliardi di dollari (il più grande di sempre), febbraio 2022: Washington Post. Condanne (Ilya 5 anni, Heather 18 mesi) & ~10 miliardi di dollari recuperati: TRM Labs, Bloomberg. La persona Razzlekhan, le monete d'oro sepolte & il caso: TIME, NBC News.