Le autorità internazionali hanno smantellato l'11 giugno 2026 il servizio di riciclaggio criptovalute "AudiA6", arrestando due presunti amministratori a Batumi, in Georgia, e sequestrando un'architettura distribuita su quattro paesi. L'operazione interrompe un pipeline che ha processato oltre 10.000 bitcoin dal 2021, dimostrando che il collo di bottiglia del crimine digitale non è la blockchain ma il ponte con il sistema finanziario tradizionale.
- Due arresti in Georgia: Ruslan Igorevich Tkachuk, 37 anni, e Alexander Vladimirovich Ledenev, 25 anni, residenti a Batumi — uno ucraino e uno russo secondo CyberNews.
- Europol collega il servizio a oltre 15 indagini internazionali su cybercrimine; il takedown ha colpito 25 domini, 30 server e oltre 80 veicoli in USA, Islanda, Germania e Francia.
- Il metodo si fondava su migliaia di account exchange aperti con identità rubate o acquistate, con riciclaggio completato in circa un'ora attraverso catene di transazioni.
- Le cifre divergono tra le fonti: Europol cita 336 milioni di euro, CryptoTimes riferisce di 389,7 milioni di dollari in BTC al momento delle transazioni, CyberNews indica 890 milioni di dollari.
Come funzionava la "lavanderia" da 60 minuti
AudiA6 non era un mixer decentralizzato ma un servizio centralizzato di "crypto washing", secondo le fonti investigative. I clienti — gruppi ransomware, darknet market e operatori cybercriminali — consegnavano fondi illeciti e ricevevano entro circa un'ora capitale "ripulito" attraverso un'intensa catena di transazioni. La velocità era il differenziatore commerciale: la commissione arrivava fino al 5% dell'importo trasferito.
L'infrastruttura si appoggiava su migliaia di account fraudolenti su exchange regolamentati, aperti con identità rubate o acquistate. Questo è il cuore tecnico dell'operazione: non una vulnerabilità crittografica ma un bypass sistematico del Know Your Customer (KYC) su piattaforme legittime. La blockchain fornisce tracciabilità; il punto debole era il livello di interfaccia con il fiat, dove identità reali — o supposte tali — aprono porte a volumi industriali.
CyberNews cita Europol definendo l'operazione un "industrial-scale cryptocurrency laundering operation". Il riferimento non è retorico: la scala emerge dai numeri. CryptoTimes, citando documenti giudiziari, riporta che circa 393 bitcoin, equivalenti a 19,2 milioni di dollari, sono tracciabili direttamente a darknet market, gruppi ransomware e fonti cybercriminali note. La ricostruzione è attribuita all'analisi blockchain, non a dichiarazioni degli indagati.
I tre conteggi discordanti: cosa misurano le cifre
Il dossier presenta discrepanze numeriche che non possono essere ignorate né arbitrariamente risolte. Europol, nel titolo del comunicato ufficiale, cita 336 milioni di euro. CryptoTimes, riferendosi a una complaint giudiziaria, indica 10.333 bitcoin dal 2021 per un valore di 389,7 milioni di dollari "al momento delle transazioni" — dunque un valore storico nominale, non attuale. CyberNews avanza invece una cifra di 890 milioni di dollari, possibilmente un valore aggiornato al tasso di cambio corrente o una proiezione su base estesa.
Nessuna fonte spiega esplicitamente la divergenza. È ragionevole ipotizzare metriche diverse: valore transato al momento dell'operazione contro valore corrente del bitcoin sequestrato o ricollegabile, oppure inclusione di transizioni non ancora confermate nelle altre stime. Il lettore deve trattare le cifre come indicatori di ordine di grandezza, non come equivalenti intercambiabili.
"thousands of fraudulent exchange accounts opened using stolen or purchased identities" — Europol, citato da CyberNews
La geografia del sequestro e la cooperazione transnazionale
Oltre ai due arresti in Georgia, l'operazione ha prodotto sequestri materiali significativi: 25 domini, 30 server fisici, oltre 80 veicoli e proprietà multiple, oltre al blocco di account Telegram collegati alla rete. I server e i domini sono stati colpiti in USA, Islanda, Germania e Francia. Le agenzie coinvolte coprono nove giurisdizioni: Europol, Eurojust, USA, Australia, Canada, Francia, Germania, Giappone, Svizzera e Regno Unito.
La portata geografica del sequestro evidenzia la natura distribuita dell'infrastruttura criminale e, specularmente, la capacità di coordinamento che l'enforcement ha raggiunto su questo specifico fronte. Non è un'operazione su un singolo data center o un wallet: è un takedown architetturale, progettato per rendere difficile la ricostruzione immediata del servizio.
CyberNews riferisce di circa 730.000 dollari congelati (692.000 euro) e circa 100.000 dollari in criptovalute sequestrate (86.000 euro). Questi importi, confrontati con le cifre di traffico complessivo, suggeriscono che la liquidità immediatamente raggiungibile sia una frazione del volume processato — un pattern comune nelle operazioni di riciclaggio, dove i fondi sono in rapido movimento o investiti in asset fisici.
Perché il takedown non ferma il ransomware ma ne altera l'economia
L'operazione AudiA6 non riduce direttamente la superficie di attacco ransomware per le imprese: non patcha vulnerabilità, non disattiva payload, non intercetta campagne di phishing. Il suo impatto è a monte, sull'ecosistema finanziario che rende redditizie le estorsioni. Senza servizi di riciclaggio "veloci" e a basso attrito, i gruppi ransomware devono ricostruire pipeline alternative con tempi, costi e rischi di esposizione maggiori.
La fonte non specifica quali gruppi ransomware fossero clienti diretti, né quanti operatori attivi siano rimasti senza canale di monetizzazione. CyberNews sottolinea che il servizio era collegato a "gruppi ransomware" in termini generici, senza naming. Questo è un limite conoscitivo rilevante: l'effetto di disruption è reale ma la sua distribuzione specifica non è documentata.
Un elemento di lettura emerge comunque con chiarezza: il modello centralizzato di AudiA6, basato su amministratori identificabili, server sequestrabili e identità compromesse su exchange regolamentati, contiene vulnerabilità strutturali che la decentralizzazione tecnologica non elimina. La blockchain non ha bisogno di trust; il riciclaggio sì.
Stato degli indagati e scenari processuali
I due arrestati sono in custodia in Georgia. CryptoTimes cita un "official release dated June 11" con nomi completi e residenza a Batumi. Secondo la stessa fonte, la penitenza massima prevista per i reati contestati è di 20 anni. Il dossier non specifica lo stato delle procedure di estradizione verso USA né se siano stati identificati "money mules" o solo gli amministratori di vertice. L'esito giudiziario è, allo stato, unknown.
La fonte non specifica inoltre se i fondi congelati o sequestrati saranno restituibili alle vittime delle estorsioni. Questo è un vuoto significativo: il recupero patrimoniale è spesso il principale interesse delle imprese colpite, ma le operazioni di takedown tendono a prioritizzare la disruption criminale sulla restituzione.
Il caso è stato collegato pubblicamente al moniker "AudiA6" da ZachXBT, un investigatore blockchain noto per l'osint on-chain, che ha identificato l'operazione come mixer centralizzato con attività su centinaia di account KuCoin. Questa ricostruzione, citata da CryptoTimes, non è una fonte ufficiale ma un elemento di convergenza investigativa indipendente.
Perche e importante
Il dossier non documenta misure correttive specifiche adottabili dalle imprese in seguito a questo takedown. Il rischio ransomware diretto non si modifica: le superfici di attacco restano le stesse, i vettori di infezione non sono alterati.
Ciò che l'operazione documenta è un avanzamento dell'enforcement internazionale su un fronte precedentemente considerato opaco: l'interfaccia fiat-crypto. La tracciabilità on-chain, combinata con la cooperazione transnazionale e il pressione regolatoria su exchange KYC-compliant, sta producendo risultati operativi misurabili. Per le imprese, questo significa che l'ecosistema criminale a monte è meno invulnerabile di quanto si assuma, ma non che la minaccia ransomware sia in declino strutturale.
Il brief non specifica inoltre quanti clienti attivi avesse il servizio all'arresto, né quali gruppi ransomware specifici fossero coinvolti oltre il dato generico. Non è documentato se l'operazione abbia catturato figure subordinate o solo i due amministratori di vertice. L'entità esatta della sovrapposizione tra le tre cifre riportate — 336 milioni di euro, 389,7 milioni di dollari, 890 milioni di dollari — rimane non chiarita dalle fonti.
Il valore aggiunto di questo takedown sta nel segnale: il "last mile" del crimine cripto è tangibile, centralizzato e colpibile. La tecnologia non ha reso il riciclaggio immune dall'enforcement; ha solo spostato il punto di fragilità dal protocollo all'identità, dall'algoritmo al KYC, dalla crittografia al veicolo fisico.
Fonti
- https://www.europol.europa.eu/media-press/newsroom/news/ransomware-gangs-cut-eur-336-million-audia6-crypto-laundering-pipeline
- https://www.cryptotimes.io/2026/06/11/seized-domains-frozen-crypto-inside-the-389m-audia6-takedown/
- https://nvd.nist.gov/vuln/detail/CVE-2026-31431
- https://nvd.nist.gov/vuln/detail/CVE-2026-41940
- https://cybernews.com/cybercrime/audia6-crypto-washing-shut-down/
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.