Fuga di dati Wagyu: gli swap Monero restano privati sulla chain, non nel database

Wagyu, un servizio che converte altre criptovalute in Monero senza chiedere documenti d’identità, ha confermato la fuga dei propri registri degli ordini, come riferisce The Defiant. La conferma arriva dopo l’analisi pubblicata il 28 ottobre da Hudson Rock, la società di intelligence sul cybercrimine che gestisce Infostealers.com. Secondo Hudson Rock, 4.580 blockchain, where users swap tokens directly from their own wallets without handing custody of their funds to a company.">swap in XMR completati compaiono in righe che contengono, una accanto all’altra, la transazione di deposito sulla blockchain pubblica, l’indirizzo Monero di destinazione e l’indirizzo IP del cliente. La crittografia di Monero non è stata violata: a essere esposto è smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il database del servizio.

Quel numero, 4.580, è solo un sottoinsieme della fuga di dati Wagyu. L’esportazione completa esaminata da Hudson Rock contiene 38.628 ordini e 10.139 indirizzi IP, tra il 18 luglio e il 26 ottobre 2026. Nessuno dei due totali indica il numero di persone coinvolte.

«La crittografia di Monero non è stata violata», scrive Hudson Rock. A cedere, nella sua lettura, è il database che il servizio teneva accanto alla blockchain. La società lo riassume in una frase: «La privacy può sopravvivere on-chain e fallire comunque nel database accanto alla chain.»

Hudson Rock precisa di non aver autenticato in modo indipendente la provenienza dei file: origine, completezza e autenticità non sono accertate. L’articolo di The Defiant non riporta alcuna dichiarazione di Wagyu. Coindaro non è riuscita ad aprire il comunicato ufficiale di Wagyu, quindi non sappiamo come l’azienda descriva l’accaduto né che cosa dica ai clienti.

Che cosa contengono i file della fuga Wagyu, secondo Hudson Rock

Al centro della vicenda ci sono due file. Il primo, orders.csv, elenca 38.628 ordini su 45 colonne: tra queste stato dell’ordine, importi, orari, hash delle transazioni di deposito, indirizzi di destinazione, IP dei client, ID di sessione, intestazioni del browser ed etichette di provenienza. Il secondo, users_wagyu.csv, raccoglie 10.139 voci a livello di IP, con numero di ordini, quantità di destinazioni distinte, primo e ultimo avvistamento, valori di rischio, paesi dichiarati e classi dei fornitori di rete. Hudson Rock afferma che i totali per IP coincidono con quelli di orders.csv.

Da queste ultime righe parte il collegamento. Un ID di sessione che compare con due IP, o un indirizzo Monero pagato da più connessioni, permette a chi detiene il file di raggruppare ordini che il cliente poteva credere separati.

Tutti i 4.002 ordini segnati come cancellati hanno ancora un IP e una destinazione, e 3.180 conservano anche l’hash di deposito. Hudson Rock non lo considera la prova che Wagyu abbia omesso di cancellare dati che doveva cancellare: né il significato del campo né la politica di conservazione del servizio sono noti.

Anche ordini e IP non sono persone. Un cliente può effettuare molti ordini e un IP può essere condiviso. La cautela di Hudson Rock, citata da GBHackers, è che «né gli ordini né gli indirizzi IP rappresentano necessariamente singoli clienti».

Perché la fuga di dati sugli swap Monero conta anche se la blockchain resta privata

Monero nasconde mittenti, destinatari e importi sul proprio registro (la nostra pagina su Monero spiega come). Un servizio di swap si trova al margine di quel registro: vede arrivare la moneta da Bitcoin o da un’altra rete pubblica e conosce l’indirizzo Monero su cui pagare. Se registra anche l’IP del cliente, una sola riga del database lega un pagamento pubblico, una destinazione privata e una connessione.

«Il rischio centrale è dunque l’esposizione dei database nei punti di ingresso e di uscita delle criptovalute», afferma Hudson Rock nelle parole riportate da GBHackers.

I limiti contano quanto il rischio. Secondo Hudson Rock, i file non permettono di decifrare Monero e, da soli, non identificano la persona dietro un IP o un wallet. Non mostrano chi abbia inviato per primo gli XMR a un indirizzo di deposito e non consentono di seguire gli XMR una volta usciti dall’indirizzo che compare nel record. La società non ha fatto nomi, non ha pubblicato indirizzi o hash completi e non ha tracciato alcuna transazione Monero. Non ha trovato prove che a causare l’incidente sia stato un malware infostealer.

Hudson Rock descrive comunque che cosa potrebbe tentare chi possiede i file, precisando che nulla di questo è accertato: phishing che cita un vero scambio della vittima, raggruppamento di wallet su più blockchain tramite dati di sessione o di rete, estorsioni basate sul valore di operazioni passate, arricchimento dei record con altri database trapelati.

Le etichette «hacker» nei dati non sono prove di reato

Alcuni ordini portano etichette come «Poloniex Hacker» o «Theft». Provengono dai dati stessi, e Hudson Rock sottolinea che non sono attribuzioni verificate e che l’uso di un mixer, da solo, non prova alcun reato. Alcuni gruppi si sovrappongono, quindi i loro totali non vanno sommati.

Per il conteggio di Hudson Rock, l’etichetta «Poloniex Hacker» è applicata a sei prelievi XMR completati per circa 1.025.047 dollari l’11 e il 12 ottobre, con un solo indirizzo di origine, una sola destinazione Monero e un solo ID di sessione, da due IP. Un’etichetta «DCENT Wallet Hacker» compare su due ordini ETH-XMR da 651.667 dollari il 13 ottobre; con un terzo ordine senza etichetta da 250.960 dollari, dello stesso depositante, con stessa destinazione e stesso IP, il totale arriva a circa 902.627 dollari. Due di quegli ordini risultano segnalati come soggetti a restrizioni pur figurando come completati.

Un’altra etichetta «Theft» copre 360 ordini completati per circa 1.720.820 dollari tra il 17 settembre e il 17 ottobre, da un unico depositante verso 13 indirizzi Monero attraverso 20 IP; 315 di questi si collocano tra 4.900 e 5.100 dollari. Un gruppo più ampio, marcato «Tornado.Cash: 100 ETH», conta 25 ordini per circa 3.561.386 dollari, cinque dei quali appartengono anche a un gruppo di sette ordini da circa 823.397 dollari piazzati nell’arco di circa 58 minuti il 25 settembre.

GBHackers ricorda che DCENT ha comunicato a settembre 2026 trasferimenti non autorizzati dal proprio App Wallet, il che non dimostra che questi swap abbiano usato fondi rubati. Hudson Rock aggiunge che alcuni ordini scaduti riportano valori in dollari implausibilmente alti, ed è per questo che non somma il volume dell’esportazione.

Un’inserzione di estorsione e una disputa sulle commissioni

La fuga è emersa insieme a inserzioni di un gruppo che si fa chiamare WhiteArmor. I tracker di ransomware ne hanno indicizzata una che nomina wagyu.xyz il 27 ottobre e una seconda, «wagyu.xyz unfairness», il 28 ottobre. Accusano il servizio di probabilità truccate, come in un lancio di moneta, e di commissioni di swap non dichiarate.

I numeri di questa disputa non coincidono. La nota dell’autore sostiene che 13.190 ordini siano stati addebitati sopra il tasso quotato; il riepilogo delle commissioni nell’esportazione, che copre 28.840 ordini di swap e bridge completati, ne colloca 11.098 nella categoria «over». Hudson Rock dice che le inserzioni da sole non provano un’intrusione, un ransomware o un furto di dati, e che le accuse non sono prove di scorrettezza. Se le inserzioni e i file abbiano la stessa origine non è noto.

Wagyu dichiara 700 milioni di dollari di XMR instradati quest’anno

In un comunicato diffuso da Chainwire il 14 agosto, Wagyu.xyz si è presentata come piattaforma di swap e bridge cross-chain e ha affermato di aver instradato oltre 700 milioni di dollari di volumi in Monero attraverso il book di ordini onchain di Hyperliquid da gennaio 2026. La sua politica di compliance pubblicata dice che non vengono richiesti documenti KYC. Lo stesso comunicato afferma che il percorso controlla le transazioni prima dell’esecuzione e rimanda all’indirizzo di origine i depositi che non superano il controllo. Sono cifre dell’azienda, in un comunicato a pagamento.

Che cosa possono fare ora gli utenti di Wagyu esposti

Non abbiamo trovato indicazioni da parte di Wagyu. Le raccomandazioni di Hudson Rock valgono per chiunque abbia usato un servizio di swap senza KYC nel periodo:

• Dare per scontato che il fornitore abbia conservato indirizzi, importi, orari e dati di connessione, anche se non ha mai chiesto il nome.
• Trattare come probabile truffa ogni messaggio non richiesto su rimborsi, recuperi o verifiche che cita un ordine reale.
• Non condividere gli ID delle transazioni e non collegare i wallet usati a profili pubblici.
• Controllare un eventuale avviso di violazione di Wagyu sui suoi canali autentici prima di agire.
• Non digitare mai una seed phrase o una chiave privata in un link o in un modulo di assistenza.

Una VPN o Tor limita quanto del proprio IP un servizio vedrà la prossima volta, osserva Hudson Rock, ma non può cancellare dati già consegnati. Le nostre guide su come riconoscere le truffe crypto e su come custodire al sicuro la seed phrase descrivono gli schemi di phishing che una fuga come questa tende ad alimentare.

Per i servizi di swap e i bridge, il consiglio della società è di conservare insieme IP, ID di sessione, destinazioni e corrispondenze degli ordini per il minor tempo possibile, di tenere i dati delle transazioni separati dalla telemetria operativa e di definire che cosa significhi «cancellare» nei sistemi attivi, nei log, nelle esportazioni e nei backup.

Nessuna autorità si è espressa sulla fuga Wagyu, nemmeno Consob o OAM

Non abbiamo trovato dichiarazioni di alcuna autorità di regolamentazione, né negli Stati Uniti né in Europa; nulla nemmeno da Consob o Banca d’Italia, e Wagyu non risulta tra i soggetti iscritti al registro dell’OAM. Wagyu opera senza KYC e, per quanto ne sappiamo, fuori dal regime di licenze MiCA per i fornitori di servizi in cripto-attività. Per chi vive in Italia i percorsi regolamentati verso Monero sono già pochi: Kraken mantiene XMR in elenco ma non per i clienti dell’UE. Il diritto europeo sulla protezione dei dati considera in genere l’indirizzo IP un dato personale, ma non è stato segnalato alcun reclamo contro Wagyu, e non risulta alcun provvedimento del Garante per la protezione dei dati personali.

È la seconda fuga di dati personali sul nostro tavolo in due giorni, dopo Bithumb, che ha comunicato l’accesso di un esterno al sistema di lavoro dei dipendenti. Bithumb raccoglie identità; Wagyu non ne raccoglieva nessuna e ha comunque tenuto una traccia. Da osservare ora: il racconto di Wagyu su come i file siano usciti e se qualcuno ne autenticherà il contenuto.