Leak di GTA 6, il token Solana dietro CyberLeek

Tre giorni prima che qualcuno vedesse anche solo un secondo dei leak di GTA 6, su Solana c’era già un token, quasi fermo negli scambi e in attesa. Questo dettaglio cambia tutta la storia dei leak di GTA 6, perché suggerisce che CyberLeek non abbia aggiunto il crypto a un hack a cose fatte. Prima ha costruito il mercato, poi gli ha dato attenzione.

Perché i leak di GTA 6 sembrano pianificati fin dal primo giorno?

La cronologia pubblica è scomoda per la versione semplice da titolo. Il dominio web di CyberLeek è stato acquistato il 14 agosto. Il token su ha registrato il suo primo scambio il 15 agosto alle 21:07 UTC, con una fully diluted valuation vicina a 55.000 dollari. Il primo leak di GTA 6 è comparso solo il 18 agosto intorno alle 17:00 UTC, e il watermark del video includeva già QR code che indirizzavano gli utenti verso il token.

Questo significa quattro giorni pieni di infrastruttura prima dei contenuti, e 68 ore tra il lancio del token e il primo leak. Durante quel periodo di attesa, il volume orario oscillava tra 4 e 2.500 dollari. In parole semplici, il token sembrava morto. Non stava reagendo all’hype. Stava aspettando la distribuzione.

Se vuoi un ripasso di base su come i diversi asset si distribuiscono tra le reti, AhoraCrypto offre una guida ampia sulle crypto e una pagina dedicata a SOL.

Che cosa è successo dopo l’arrivo online dei primi leak di GTA 6?

Il 18 agosto, CyberLeek ha pubblicato il primo video, Jason nella sua casa sul mare, poi altri filmati di guida e combattimento, oltre a immagini che ricomponevano la mappa di Leonida. All’inizio si discuteva sull’autenticità. Le richieste di rimozione per copyright di Rockstar sono diventate una conferma involontaria.

Il leak è arrivato con un manifesto: fine dei preordini digitali, divieto di far pagare sblocchi già presenti nel prodotto venduto, e obbligo di una patch finale che permetta ai giocatori di mantenere l’accesso locale quando i server vengono spenti. Il 19 agosto sono seguiti altri due video. Una canzone pubblicata a gennaio 2025 ha aiutato a datare la build, mentre la campagna per i diritti dei consumatori Stop Killing Games ha preso pubblicamente le distanze e ha detto ai follower di non comprare il token.

Poi il meccanismo si è fatto più preciso. I voti ponderati in base ai token hanno iniziato a decidere quale video sarebbe uscito dopo. Il 20 agosto, un volo sopra Vice City si è concluso con il giocatore che sparava contro un muro per scrivere LEEK con i fori dei proiettili. È un dettaglio importante, perché non è qualcosa che si mette in scena partendo da una clip ricevuta a caso. Fa pensare con forza a un controllo in tempo reale di una build giocabile, compresa la possibilità di rivelare spoiler della storia più avanti.

Lo stesso giorno, un secondo gruppo ha rivendicato un accesso separato a materiale interno dopo aver colpito con phishing un dipendente in India. Entro il 21 agosto, Take-Two era già andata in tribunale, e CyberLeek aveva aperto una sezione contatti per vendere spazi pubblicitari all’interno dei leak per 400 XMR, circa 165.000 dollari, solo per iniziare la trattativa.

Come ha fatto il token a salire così tanto, e perché il numero sullo schermo ha tratto in inganno?

Alle 17:00 UTC del 18 agosto, nell’ora esatta in cui i primi filmati sono arrivati online, il token ha segnato una candela oraria di 13x con 1,47 milioni di dollari di volume. L’ora successiva è stata ancora più grande, con 5,47 milioni di dollari scambiati. Entro le 23:00 UTC, il token aveva toccato una fully diluted valuation di 3,3 milioni di dollari, circa 60 volte più alta rispetto a due giorni prima.

Nel giro di sette giorni, il pool principale ha elaborato 22,7 milioni di dollari su 163.014 trade da 16.182 wallet. In seguito il token è arrivato a superare i 65.000 holder, con una market cap intorno a 13-15 milioni di dollari. Ma il numero che conta di più è la profondità del pool di liquidità, che si è mantenuta più o meno tra 1,4 e 2,5 milioni di dollari mentre il volume giornaliero viaggiava a circa 13 volte quella profondità.

Questa è la prima lezione pratica. FDV è una moltiplicazione. La liquidità è ciò che esiste davvero quando si vuole uscire. Quando il volume è molte volte più grande della profondità del pool, il prezzo sullo schermo spesso è solo quello dell’ultimo trade di piccole dimensioni, non il prezzo che un holder medio potrebbe ottenere con una vendita significativa.

C’era poi un’altra trappola. Almeno quattro token imitatori sono stati lanciati con lo stesso ticker e hanno raccolto circa 713.000, 422.000, 297.000 e 200.000 dollari di volume. Nomi, ticker e loghi si copiano facilmente. L’unico identificatore che non si può falsificare è l’indirizzo del contratto.

Nei token legati agli eventi, la market cap può sembrare enorme mentre la liquidità reale in uscita resta limitata. Se guardi solo il numero principale e ignori la profondità del pool, stai leggendo il tabellone sbagliato.

Chi ha davvero guadagnato con CyberLeek?

La risposta controintuitiva è: non necessariamente le persone che hanno messo in scena tutta la storia. La società di on-chain intelligence Bitquery ha classificato i trader in base al profitto realizzato usando un metodo prudente, pensato per evitare di gonfiare i guadagni in un pool poco profondo. I primi cinque vincitori hanno guadagnato insieme circa 158.000 dollari, e tutti hanno comprato per la prima volta in una finestra di sei minuti, dalle 17:48 alle 17:54 UTC. Il token esisteva già da 68 ore.

I profili più evidenti sembrano meccanici. Un automated sniper ha eseguito 713 trade, investendo circa 138.000 dollari e incassandone circa 187.000, continuando a vendere fino al 21 agosto. Un altro gruppo di wallet è entrato con 2.771 dollari ed è uscito con 37.428 dollari in sette ore. Un terzo ha fatto nove trade, ha trasformato 4.688 dollari in 29.759 dollari ed era già fuori dopo 65 minuti.

Nessuno di questi cinque wallet principali sembra collegato al wallet del creatore. Uno degli esempi più chiari è stato finanziato da tre wallet nello stesso secondo, alle 16:57:27 UTC, e quei wallet a loro volta riportavano allo stesso operatore. Questo schema sa di script, più private key sotto un unico controllo, fondi divisi per fare trading da indirizzi diversi e poi ricompattati. Nello stesso giorno ha anche eseguito 432 trade su molti altri token. Non era conoscenza privilegiata su una sola storia. Era un gioco di velocità.

Se usi spesso i wallet, la pagina sicurezza e le risorse di AhoraCrypto sono un buon punto da cui ripassare le basi che i token legati agli eventi tendono a sfruttare.

Che cosa dice la traccia sulla blockchain sugli errori dell’operatore?

L’operatore ha fatto molte cose bene. Il finanziamento del wallet creatore è arrivato attraverso un imbuto, 57 trasferimenti in entrata da 21 wallet e solo due trasferimenti in uscita, entrambi verso il creatore. Più a monte, il denaro si è mosso attraverso sei passaggi con un comportamento di layering ben noto: vecchi fondi di riserva, rapida suddivisione, un piccolo trasferimento di test e poi attesa. I fondi hanno raggiunto il livello finale il 13 agosto e sono rimasti fermi quasi un giorno. Il 15 agosto sono passati solo 20 minuti tra il finanziamento finale e la creazione del pool. Sembra una procedura programmata.

La traccia ha usato anche l’address poisoning. Su Solana, gli indirizzi sono stringhe lunghe e sensibili alle maiuscole e minuscole, ma i wallet di solito mostrano solo i primi e gli ultimi caratteri. Gli attaccanti generano vanity address che iniziano e finiscono come uno reale, poi inviano dust in modo che l’indirizzo falso compaia accanto a quello autentico nella cronologia delle transazioni. In questo caso, i trasferimenti-esca arrivavano spesso tra 6 secondi e 2 minuti dopo quelli genuini, il che fa pensare a un bot che osservava tutto in tempo reale.

Eppure restavano tre punti deboli. Primo, i record KYC al margine dell’exchange. Secondo, il riutilizzo del wallet creatore per finanziare i deployer di token successivi. Terzo, l’orologio. Undici azioni con timestamp nell’arco di tre giorni sono tutte cadute tra le 09:23 e le 21:07 UTC, senza nessuna tra le 02:00 e le 08:00. Questo schema non prova un’identità, ma ricorda più una normale finestra di sonno dell’Europa centrale che della costa est degli Stati Uniti.

La lezione importante è semplice. L’attività sulla blockchain di solito è pseudonima, non invisibile. La rottura avviene spesso off-chain, nell’account KYC, nel wallet riutilizzato o nella routine umana dietro le firme.

Perché gli aspetti legali e malware rendono questa vicenda più grande di una semplice storia di memecoin?

Il 20 agosto Take-Two ha presentato richieste di comparizione nel distretto meridionale di New York, rivolte a Microsoft e Discord. Secondo quanto riportato, le richieste puntano a ottenere identificativi degli account, email di registrazione, indirizzi IP, numeri di telefono, account collegati e identificativi dei dispositivi per gli account attivi in tre server specifici dal 1° giugno. La scadenza è fissata al 4 settembre, e Microsoft avrebbe già confermato la propria collaborazione.

Il danno economico va oltre i grafici del token. Take-Two ha perso circa 2,83 miliardi di dollari di capitalizzazione di mercato in due giorni. Nello stesso momento, hanno iniziato a circolare false copie del gioco contenenti malware. Secondo i test citati da Tom’s Hardware, una presunta build da 113 GB era quasi interamente composta da file riempitivi più un virus da 50 KB progettato per disattivare gli strumenti di sicurezza del sistema.

Il lato crypto aggiunge un secondo livello di confusione. Gli spazi pubblicitari erano prezzati in Monero, una privacy coin più nota per nascondere i dettagli delle transazioni rispetto a Solana. Nel frattempo, l’attività più ampia su Solana è stata abbastanza elevata da spingere anche i media generalisti a evidenziare dati record sul throughput, compreso un report di Cointelegraph che cita 4,2 miliardi di transazioni e un rally del 40% di SOL. Questo contesto aiuta a capire perché un token narrativo, pensato per muoversi in fretta, abbia scelto proprio questa chain.

Che cosa dovresti ricordare la prossima volta che un leak e un token compaiono insieme?

Parti da cinque controlli. Verifica l’indirizzo del contratto, non il ticker. Confronta la market cap con la profondità del pool. Dai per scontato che la prima finestra profittevole si chiuda prima che arrivi l’attenzione pubblica. Controlla gli indirizzi completi dei wallet, non solo i primi e gli ultimi quattro caratteri. E ricorda che anche una storia on-chain spettacolare lascia comunque impronte umane.

L’affermazione più interessante di CyberLeek non è ideologica, legale o persino tecnica. È strutturale. Un gruppo ha passato quattro giorni a costruire una macchina di distribuzione attorno ai leak di GTA 6, poi i primi sei minuti di domanda reale hanno premiato soprattutto wallet esterni più veloci, non per forza le persone che avevano costruito la macchina. I token legati agli eventi sono mercati della latenza. La storia decide che cosa si muove, la velocità decide chi viene pagato, e gli utenti comuni raramente arrivano per primi in nessuno dei due casi.