Gopax sospende prelievi e trading dopo una mail di minacce hacker: nessuna perdita, nessuna data di ripartenza

Gopax, l’exchange di Seul controllato da Binance, venerdì 6 novembre ha sospeso i depositi di criptovalute, i prelievi da sito e app e tutto blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il trading, dopo aver ricevuto una mail da un gruppo che sostiene di aver violato la piattaforma. I prelievi si sono fermati alle 14:55 KST (05:55 UTC) e il trading alle 15:53 KST (06:53 UTC), secondo due comunicati pubblicati dalla società nel pomeriggio. Gopax afferma di non aver verificato la minaccia e non segnala perdite di fondi dei clienti. Non è stata indicata alcuna data di ripartenza.

Il primo comunicato, il numero 2607, è apparso alle 14:49 KST (05:49 UTC). Spiega che Gopax sposterà tutte le criptovalute dei clienti in cold wallet, cioè in custodia tenuta fuori da internet, e che i prelievi passeranno ora dall’assistenza clienti, gestiti a mano. Il secondo, il numero 2608, è arrivato alle 16:17 KST (07:17 UTC) e ha confermato lo stop al trading e la cancellazione di tutti gli ordini aperti. Nessuno dei due comunicati cita la mail.

La mail è emersa attraverso la stampa. Un responsabile di Gopax ha dichiarato all’agenzia Yonhap: «Abbiamo ricevuto una mail da un gruppo che sostiene di aver violato l’exchange», aggiungendo che «non abbiamo ancora verificato se la minaccia sia autentica». Il responsabile ha detto che la piattaforma mette al primo posto gli asset dei clienti «anche se ciò comporta disagi per gli utenti».

Gopax sospende prelievi e trading: cosa si è fermato e come si preleva ora

Lo stop è arrivato in due tempi, a meno di un’ora di distanza. Gli orari qui sotto vengono dai comunicati della società e dal suo registro degli avvisi, in ora coreana (KST, UTC+9) e in UTC.

Ai clienti che vogliono portare via le proprie monete viene chiesto di scrivere all’assistenza dell’exchange, all’indirizzo [email protected]. Ogni richiesta passa da un controllo e da un’approvazione interni e viene poi elaborata a mano, una dopo l’altra, quindi i tempi possono essere più lunghi di un normale prelievo, dicono i comunicati. L’avviso 2608 rimanda a una pagina di aiuto su come presentare la richiesta. Nessuno dei due indica un limite giornaliero, una variazione delle commissioni o un tempo obiettivo di elaborazione.

Sui depositi la situazione è la meno chiara. Il comunicato 2607 li elenca come sospesi, e il 2608 dice che il servizio di deposito e prelievo è stato fermato in mattinata. Bitcoin Magazine ha riferito il 6 novembre che la stampa coreana successiva parlava di depositi ripristinati, con i prelievi da app ancora chiusi. Gopax non ha pubblicato nulla che confermi la riapertura dei depositi: quando abbiamo controllato il suo registro degli avvisi alle 17:50 UTC (02:50 KST di sabato), l’ultima voce era ancora la 2608. Chi sta per inviare monete a un indirizzo Gopax non ha alcuna conferma scritta dell’exchange che verrebbero accreditate.

Il trading è fermo del tutto. Ogni ordine in attesa è stato cancellato alle 15:53 KST, quindi i fondi dei clienti restano sui conti come saldi, non come ordini in attesa di esecuzione.

La mail dei presunti hacker: una minaccia che Gopax non ha verificato

Sulla minaccia in sé si sa poco. Herald Business ha riferito che Gopax ha ricevuto una sola mail, da un gruppo che si presentava come hacker. Nessuno dei media che hanno seguito lo stop ha indicato il mittente, un riscatto o altre richieste, né una scadenza. Anche Segye Ilbo, nell’articolo delle 19:33 KST, non fornisce questi dettagli.

La linea di Gopax è che ha agito prima che accadesse qualcosa. Un rappresentante ha detto al Kyunghyang Shinmun, come riportato da Cointelegraph, che fino a quel momento non c’era stato alcun attacco informatico né tentativo di furto. La società ha dichiarato a JKN che non è stato individuato alcun danno effettivo agli asset e che non è stato fissato un calendario per la ripresa dei servizi. Herald Business scrive che Gopax non ha potuto confermare l’autenticità della mail ma ha ritenuto possibile un attacco, e si è mossa per prima.

L’exchange aveva già avuto un problema di sicurezza quest’autunno. Accessi anomali ad alcuni account, a partire da inizio settembre, hanno esposto i dati personali di sette utenti e di due dipendenti attuali o ex, e a ottobre è stata confermata un’ulteriore fuga di dati, hanno riferito JKN e Segye Ilbo. Gopax ha spiegato a JKN di considerare quella fuga e la mail minatoria due questioni distinte, e non è stato confermato alcun legame tra le due.

Il giorno prima c’era stato anche un breve disservizio. Un avviso di Gopax del 5 novembre diceva che depositi e prelievi di alcune monete erano rallentati dalla mezzanotte per un guasto di Chainalysis, servizio esterno, e sono tornati alla normalità alle 10:52 KST. L’avviso non aggiunge altro, e Gopax non ha collegato quel guasto allo stop di venerdì. Chainalysis aveva reso nota una violazione subita una settimana prima, raccontata nel nostro articolo sull’incidente di Chainalysis; nessuna fonte la collega a Gopax.

Raccomandazione delle autorità o decisione di Gopax: due versioni

Gopax ha fornito due versioni su chi abbia deciso lo stop, e non coincidono.

I comunicati scritti dicono che l’exchange agisce «in linea con la raccomandazione delle autorità finanziarie», in risposta alle recenti fughe di dati e agli attacchi informatici subiti da società finanziarie, e definiscono la misura preventiva. Questa formulazione compare sia nell’avviso 2607 sia nel 2608.

Ciò che Gopax ha detto ai giornalisti è diverso. Un responsabile della società ha spiegato a Etoday, in un articolo pubblicato alle 19:22 KST, che dopo aver ricevuto la mail minatoria Gopax ha deciso da sé le misure preventive e ne ha poi comunicato i dettagli alle autorità. Anche Herald Business ha descritto lo stop come una decisione della società, senza citare alcun regolatore. Etoday riporta che Gopax ha confermato di aver ricevuto davvero una mail con minacce di attacco.

I comunicati non dicono a quale raccomandazione si riferiscano. La Financial Services Commission (FSC) ha incontrato gli exchange il 2 novembre, e le richieste riportate da quell’incontro riguardano cold storage, monitoraggio e riserve; nessuna cronaca parla di uno stop al trading. Non abbiamo trovato dichiarazioni della FSC, del Financial Supervisory Service o della Financial Intelligence Unit sulla sospensione di Gopax al momento di scrivere.

Cold storage all’80%: la regola e la riunione del 2 novembre

In Corea le regole impongono agli exchange di tenere in cold storage almeno l’80% delle criptovalute dei clienti, ha ricordato Cointelegraph. Gopax era vicina a quella soglia: a fine settembre custodiva offline l’80,54% degli asset degli utenti, secondo lo stesso articolo. Il Seoul Shinmun ha pubblicato il 3 novembre le percentuali di fine settembre dei principali exchange in won.

Quei dati facevano da sfondo alla riunione d’emergenza convocata dalla FSC alle 10:00 KST del 2 novembre, dopo l’attacco a Binance. Hanno partecipato il Financial Supervisory Service, il Financial Security Institute, l’alleanza degli exchange DAXA e i rappresentanti delle principali piattaforme, ha riferito il Seoul Shinmun. L’autorità ha chiesto agli exchange di aumentare la quota di asset nei cold wallet, di sorvegliare depositi e prelievi 24 ore su 24 con più personale, di accantonare maggiori riserve e di segnalare e condividere ogni tentativo di accesso anomalo. Sta inoltre valutando una richiesta del settore per consentire agli exchange di limitare rapidamente i prelievi quando un’altra piattaforma viene violata; non è stata annunciata nessuna decisione.

Spostando tutto nei cold wallet, Gopax supera di parecchio la soglia dell’80%, almeno per ora. Il prezzo da pagare è la velocità. Le monete in un hot wallet stanno su sistemi collegati a internet e possono essere inviate in pochi minuti; quelle in cold storage richiedono una firma offline, ed è per questo che i prelievi passano ora da una coda manuale. Le nostre voci del glossario sul cold wallet e sull’hot wallet spiegano la differenza, mentre la nostra guida al funzionamento di un exchange centralizzato chiarisce che cosa possiedono i clienti quando le monete stanno su una piattaforma.

Gopax era già nel mirino dell’autorità. A ottobre la FSC ha segnalato debolezze di cybersicurezza in 130 delle 555 società finanziarie esaminate e ha citato Streami, la società che gestisce Gopax, e l’exchange Prabang tra le 16 imprese coinvolte in precedenti incidenti di sicurezza, secondo Cointelegraph. Prabang ha rilevato prelievi anomali dal proprio hot wallet il 24 ottobre, ha perso circa 100 milioni di won (circa 70.000 dollari) secondo Cointelegraph, e ha detto che rimborserà i clienti con fondi propri. Separatamente, la FSC ha dichiarato che sono stati confermati incidenti in 37 istituti finanziari, con circa 470.000 dati di clienti coinvolti, ha riferito Yonhap il 6 novembre.

Anche le banche sono sotto esame. La Bank of Korea ha chiesto a banche e società di intermediazione quale impatto avrebbero lo stop di un exchange o un crollo del mercato cripto, come raccontato nel nostro articolo sull’indagine della Bank of Korea.

Gopax Binance: la quota di maggioranza e il legame, non provato, con l’attacco

Binance è l’azionista di maggioranza di Gopax. Ha annunciato l’investimento nel 2023, ma la richiesta di cambio dell’azionista di controllo è rimasta ferma alla Financial Intelligence Unit sudcoreana da marzo 2023 fino all’approvazione di ottobre 2025, ha riferito Decrypt il 17 ottobre 2025, citando i dubbi sulla storia di compliance di Binance. I media indicano percentuali diverse per la quota, e i comunicati di Gopax non ne riportano nessuna.

L’operazione ha radici in un blocco precedente. Nel novembre 2022, dopo che il prestatore Genesis Global aveva sospeso i rimborsi, Gopax ha sospeso il pagamento di capitale e interessi su GoFi, il suo prodotto di risparmio che faceva da intermediario per i prodotti di Genesis, ha riferito Forkast il 18 novembre 2022. Gopax aveva spiegato allora che gli asset di GoFi erano tenuti separati da quelli degli utenti della piattaforma di trading. Quando la FIU ha approvato l’acquisto da parte di Binance, Gopax l’ha descritto come un passo verso il rimborso degli utenti GoFi, secondo Decrypt.

La tempistica porta a pensare a un nesso con l’attacco a Binance, raccontato nel dettaglio nel nostro articolo principale sull’attacco a Binance. Nessuna fonte lo stabilisce. Cointelegraph e Cryptopolitan citano il furto solo come motivo per cui le autorità coreane hanno spinto per più cold storage, e i comunicati di Gopax parlano di incidenti nelle società finanziarie in generale, non di quello subito dalla casa madre.

Cosa non si sa ancora prima della riapertura di Gopax

Diverse domande restano senza risposta pubblica. Nessun media ha riferito chi abbia inviato la mail, che cosa chiedesse o se fissasse una scadenza. Gopax non ha detto se ora ritenga credibile la minaccia, né quanto tempo richiederà il trasferimento di tutti gli asset nei cold wallet.

Non c’è una data di ripartenza. Gopax ha detto a Etoday che annuncerà la ripresa quando la sicurezza sarà garantita, e Herald Business ha citato la società secondo cui i tempi non sono stati decisi. Lo stato dei depositi resta incerto finché l’exchange non lo chiarirà con un avviso.

Non si sa nemmeno se altri exchange coreani abbiano ricevuto una mail analoga; nessun media ne ha riferito. La FSC non ha commentato pubblicamente il caso Gopax, quindi la distanza tra le parole dei comunicati e il racconto della società ai giornalisti resta aperta. Il prossimo dato da seguire è una nuova voce nel registro degli avvisi di Gopax dopo la 2608.