Fuga di dati KYC e rapimenti crypto: come proteggere i Bitcoin

Il 30 giugno 2025 gli inquirenti francesi hanno fermato una funzionaria del fisco di 32 anni in servizio vicino a Parigi. La procura la accusa di aver usato il software fiscale dello Stato per cercare gli indirizzi di casa di alcune persone. Poi avrebbe passato quei dati a dei criminali. Tra i profili consultati ci sarebbero persone sospettate di possedere grandi quantità di criptovalute. Lei nega di sapere a cosa sarebbero servite quelle informazioni. Il caso è ancora sotto indagine.

Un anno dopo la Francia era diventata l'epicentro mondiale dei cosiddetti wrench attack: rapimenti, rapine in casa e pestaggi per costringere i possessori di crypto a cedere le loro monete. La lezione va ben oltre un solo Paese. Quando una fuga di dati KYC collega il tuo nome ai tuoi Bitcoin, il rischio non resta più online.

Un archivio fiscale diventato una lista di bersagli

La funzionaria, indicata dai media francesi come Ghalia C., è accusata di complicità in violenze e di associazione a delinquere, secondo quanto riportato da Gizmodo. A gennaio 2026 una corte d'appello di Parigi ha respinto la sua richiesta di scarcerazione. Il suo caso è solo un tassello di un quadro più ampio. La violenza aveva già colpito i nomi più noti del settore. A gennaio 2025 il cofondatore di Ledger David Balland è stato rapito nella sua casa nella Francia centrale. La polizia lo ha liberato il giorno dopo, ha riferito DL News.

A gennaio 2026 la piattaforma fiscale francese per le crypto Waltio ha reso noto un tentativo di estorsione. Gli aggressori avevano sottratto dati legati a circa 50.000 account. I file rubati comprendevano i report fiscali 2024, con indirizzi email, plusvalenze, minusvalenze e saldi patrimoniali di fine anno, ha riferito DL News. Le autorità francesi hanno avvertito gli utenti del rischio di aggressioni fisiche.

Poi, ad agosto 2026, l'amministrazione fiscale francese ha confermato il data breach: degli hacker avevano usato credenziali rubate al personale per accedere ai dati di circa 678.000 contribuenti. Tra i dati esposti c'erano nomi, indirizzi e reddito di riferimento. Circa 27.000 di queste persone avevano dichiarato almeno 100.000 € l'anno, ha riferito Unchained.

I numeri che sono seguiti parlano chiaro:

• 41 rapimenti di possessori di crypto in Francia nei primi tre mesi e mezzo del 2026, secondo i dati citati dalla procura nazionale contro la criminalità organizzata.
• 30 su 46 aggressioni violente legate alle crypto registrate nel mondo nel primo semestre 2026 sono avvenute in Francia, secondo dati Chainalysis riportati da Decrypt.
• Oltre 30 milioni di dollari sono stati sottratti in quegli attacchi in sei mesi.

Secondo Chainalysis, la violazione dei dati fiscali ha probabilmente allargato la platea di persone che i criminali potevano prendere di mira. La società osserva anche che le vittime vengono spesso individuate grazie a fughe di dati, social network o soffiate dall'interno. In altre parole, gli aggressori non hanno dovuto violare nessuna blockchain. Bastava un nome accanto a un saldo.

Non solo Francia: le fughe di dati che hanno esposto chi possiede crypto

La Francia è l'esempio più evidente, ma la stessa storia si ripete tra banche, exchange, produttori di wallet e fornitori di servizi. La tabella qui sotto elenca alcuni dei casi meglio documentati.

Ledger: la fuga di dati che ha portato le minacce fin sotto casa

Nel 2020 una violazione del database di marketing di Ledger ha esposto i recapiti di chi aveva comprato un hardware wallet. Quando il file completo è comparso su un forum di hacker, conteneva 272.000 indirizzi di casa, come ha documentato Cointelegraph. Presto i clienti hanno ricevuto email di phishing. Alcuni hanno ricevuto anche lettere minatorie con richieste di pagamento in Bitcoin. Comprare un dispositivo per proteggere le proprie monete li aveva messi in una lista di probabili possessori.

Revolut: un dipendente raggirato, 50.000 clienti esposti

A settembre 2022 un aggressore è entrato nei sistemi di Revolut manipolando un membro del personale. Sono stati esposti i dati personali di 50.150 clienti. Subito dopo sono arrivati messaggi di phishing che imitavano la banca, ha riferito Which?. Non è stato sottratto denaro. Eppure nomi e indirizzi postali dei clienti di una banca aperta alle crypto erano ormai in mano ai criminali.

Coinbase: quando sono gli interni a vendere i dati

A maggio 2025 Coinbase ha reso noto che dei criminali avevano corrotto addetti all'assistenza all'estero per copiare i dati dei clienti. I dati rubati riguardavano 69.461 persone e includevano immagini di documenti d'identità, ha riferito The Register. Gli aggressori hanno poi chiesto 20 milioni di dollari. Coinbase si è rifiutata di pagare e ha stimato il costo dell'incidente fino a 400 milioni di dollari. Secondo quanto riportato, i dati sono stati usati per spacciarsi per personale dell'azienda in truffe mirate.

Kroll: un credito da fallimento diventa una pista

Ad agosto 2023 un SIM swap ai danni di un dipendente di Kroll ha esposto i dati di chi chiedeva rimborsi ai creditori falliti FTX, BlockFi e Genesis. Per alcuni creditori la fuga di dati ha mostrato nomi, indirizzi e saldi dei conti, ha riferito Help Net Security. Erano persone che avevano già perso denaro. Ora anche i loro crediti residui erano in bella vista.

Perché una fuga di dati KYC fa più male di una password rubata

Quasi tutti i data breach sono gravi. I dati di verifica dell'identità, detti KYC (know your customer), sono un caso a parte, per tre motivi.

Non scadono mai. Una password trapelata si cambia in un minuto. Un numero di passaporto, una scansione del volto o un indirizzo di casa no. Una volta trapelato, un dato KYC resta utile ai criminali per anni.

Collegano l'identità al denaro. Il registro di un exchange non dice solo chi sei. Dice cosa possiedi, dove lo hai prelevato e quando. Questa combinazione è proprio ciò che serve a un rapinatore per scegliere un bersaglio.

La blockchain ricorda tutto. Se un dato trapelato contiene uno dei tuoi indirizzi wallet, chiunque può seguirne la storia in avanti. Ogni pagamento, ogni trasferimento e ogni nuovo indirizzo finanziato da quel wallet entra nel tuo profilo. Una sola fuga di dati può esporre anni di attività.

Secondo le norme europee contro i reati finanziari, le società regolamentate conservano in genere i dati dei clienti per almeno cinque anni dopo la chiusura del conto. Chiudere un conto, quindi, non ti cancella dal database.

Dal foglio di calcolo alla porta di casa: come una fuga di dati diventa un'aggressione

Gli inquirenti descrivono una catena di eventi ricorrente. Prima una fuga di dati o un complice interno produce una lista di nomi, indirizzi e dati dei conti. Poi chi compra la lista la filtra per trovare chi probabilmente possiede crypto, spesso in base al saldo o al reddito. Quindi il bersaglio viene confermato, a volte tracciando un wallet noto su un block explorer pubblico. Infine una banda ingaggiata si presenta alla porta.

Chainalysis ha descritto queste bande come "dilettanti nel momento della violenza, ma professionisti a entrambe le estremità". La ricerca, l'acquisto dei dati e la monetizzazione delle monete rubate sono organizzati. Solo l'irruzione in sé è rozza.

Lo sviluppatore Bitcoin Jameson Lopp tiene un registro pubblico delle aggressioni fisiche ai possessori di crypto che risale a oltre dieci anni fa. Mostra una crescita costante, con il 2025 anno record. In molti casi il filo comune è semplice: l'aggressore sapeva chi era la vittima e, più o meno, cosa possedeva.

La vera soluzione: fare in modo che i dati trapelati non portino da nessuna parte

Nessuno può impedire che un ufficio delle imposte, una banca o un exchange subisca una violazione. Però chiunque può controllare cosa rivelano quei dati trapelati. L'obiettivo è semplice: un dato trapelato deve portare a un wallet vuoto, chiuso o estraneo ai tuoi risparmi.

Significa tenere ben separati due mondi:

• Il mondo identificato: account sugli exchange, carte bancarie e qualsiasi wallet che abbia mai ricevuto un prelievo soggetto a KYC. Considera che prima o poi tutto questo trapelerà.
• Il mondo privato: i wallet che custodiscono davvero i tuoi risparmi o che usi per i pagamenti di tutti i giorni. Nessuno di questi deve avere un legame on-chain con il mondo identificato.

Un mixer Bitcoin crea questa separazione. Le monete lasciano un indirizzo collegato all'exchange e vanno a un indirizzo di mixing monouso. Ore dopo, secondo i tempi che scegli tu, monete nuove arrivano in un nuovo wallet senza alcun legame visibile con quello vecchio. Se in seguito il database dell'exchange trapela, la traccia si ferma al mixer. Il wallet dei tuoi risparmi non compare mai.

Cosa rivela un dato trapelato, con e senza separazione

Le prime due righe non si possono correggere dopo una fuga di dati. Le ultime tre sì. Sono proprio quelle che dicono a un criminale se vale la pena prenderti di mira.

Cosa fare se i tuoi dati sono finiti in una fuga di dati

Se un'azienda ti comunica che i tuoi dati sono stati esposti, agisci con calma ma in fretta.

1. Considera sospetto ogni contatto. Dopo una fuga di dati arriva il phishing. Nessuna azienda vera ti chiederà una seed phrase, una chiave privata o una sessione da remoto.
2. Sposta i fondi dagli indirizzi noti. Qualsiasi wallet legato all'account trapelato va considerato pubblico. Fai passare il suo saldo attraverso un mixer verso un wallet completamente nuovo.
3. Smetti di usare i wallet esposti. Non ricevere nuovi pagamenti su quegli indirizzi. Non finanziare nuovi wallet direttamente da lì.
4. Riduci la tua impronta pubblica. Rimuovi i post che lasciano intuire cosa possiedi. Evita gadget crypto o scatole di wallet che rivelano cosa hai.
5. Usa un indirizzo di consegna diverso per gli hardware wallet o per qualsiasi cosa legata alle crypto, come un servizio di casella postale o l'indirizzo dell'ufficio.
6. Dividi i tuoi fondi. Tenere un saldo modesto in un wallet facile da raggiungere limita ciò che chiunque può pretendere sotto minaccia.

Per approfondire la parte sui wallet, leggi la guida alla privacy di Bitcoin. Chi usa Ethereum corre rischi di collegamento in più, spiegati nella guida alla privacy di Ethereum.

Domande frequenti

Che cos'è una fuga di dati KYC?

È l'esposizione dei dati d'identità che una società finanziaria ha raccolto per verificare i propri clienti. Spesso comprendono nomi, indirizzi, documenti d'identità, selfie e saldi dei conti. Le fughe avvengono tramite attacchi hacker, dipendenti raggirati, interni corrotti o fornitori esterni poco attenti.

Quali aziende crypto hanno subito fughe di dati dei clienti?

Tra i casi ben documentati ci sono Ledger nel 2020, i dati sui crediti fallimentari gestiti da Kroll nel 2023, Coinbase nel 2025 e Waltio nel 2026. Anche banche come Revolut hanno subito violazioni. Pure i database pubblici, come quello dell'amministrazione fiscale francese, sono stati compromessi.

Che cos'è un wrench attack?

Un wrench attack è un'aggressione fisica per costringere qualcuno a cedere le proprie crypto. Il nome, letteralmente "attacco con la chiave inglese", nasce dall'idea che un semplice attrezzo possa avere la meglio sulla crittografia più robusta. Rapimenti e rapine in casa sono le forme più comuni.

Posso chiedere a un exchange di cancellare i miei dati KYC?

Di solito non subito. Le società regolamentate devono conservare i dati dei clienti per diversi anni, spesso almeno cinque dopo la chiusura del conto. La protezione concreta è fare in modo che quei dati non portino più ai tuoi wallet attuali.

Come aiuta un mixer dopo una fuga di dati?

Un mixer spezza il legame on-chain tra un indirizzo collegato a un exchange e un nuovo wallet. Il dato trapelato può ancora mostrare il tuo nome e il tuo vecchio indirizzo di prelievo. Ma non porta più al posto in cui si trovano ora le tue monete.

Un hardware wallet basta per stare al sicuro?

Tiene le tue chiavi private lontane dai malware. Il tuo saldo e la tua identità restano visibili esattamente come prima. Come ha dimostrato il caso Ledger, perfino comprarne uno può mettere il tuo indirizzo in una lista.

Fonti

• French tax agent allegedly sold personal data of crypto users to criminals, Gizmodo
• French tax agency breach exposes about 678,000 taxpayers, Unchained
• Hackers extort French crypto firm Waltio, DL News
• Crypto wrench attacks: $30M stolen in 2026, Decrypt
• Ledger data leak exposed 270K crypto wallet buyers, Cointelegraph
• Revolut data hack: what you need to know, Which?
• Coinbase confirms insiders handed over data of 70K users, The Register
• Kroll SIM-swap attack: FTX, BlockFi and Genesis clients' info exposed, Help Net Security
• Ledger co-founder David Balland and wife kidnapped in France, DL News
• Physical Bitcoin attacks log, Jameson Lopp
• Know your customer, Wikipedia