Un wallet contenente fondi rubati nel record di hack ai danni di Binance ha spostato 120 milioni di TRX verso un indirizzo sconosciuto, secondo il tracker on-chain Whale Alert. Il trasferimento segna l'ultimo passo nello sforzo degli attaccanti di riciclare i proventi della violazione del 29 ottobre — e illustra perché il token nativo di Tron si sta rivelando molto più difficile da recuperare rispetto alle stablecoin sottratte nello stesso attacco.

Cosa si è mosso e da dove proviene

Entro il 30 ottobre, le società di analisi forense blockchain avevano segnalato specifici indirizzi Tron controllati dagli attaccanti, ciascuno contenente esattamente 120 milioni di TRX. Un altro wallet dello stesso cluster avrebbe detenuto circa 158,2 milioni di TRX.

Trasferimenti più piccoli hanno continuato a defluire da altri indirizzi legati al gruppo dall'attacco in poi. Gli investigatori descrivono tali movimenti come coerenti con trasferimenti a catena di tipo peel-chain — una tecnica di riciclaggio comune in cui i fondi rubati vengono spostati attraverso una serie di indirizzi in porzioni progressivamente più piccole. Ogni singola porzione è abbastanza piccola da sembrare insignificante, ma insieme le porzioni rendono la somma originale più difficile da seguire e più facile da incassare a pezzi.

La violazione dietro il denaro

L'attacco ha colpito Binance il 29 ottobre 2026, drenando circa 6,3 miliardi di dollari in asset digitali dagli hot wallet dell'exchange — i wallet connessi a internet che gli exchange mantengono finanziati per elaborare i prelievi dei clienti — su circa dieci blockchain. L'intera operazione è durata circa 20 minuti, e la violazione è stata descritta come un evento record per il settore sia in termini di scala che di velocità.

Tron è stata una delle reti più colpite. Gli attaccanti hanno prelevato 612,7 milioni di USDT e 46,4 milioni di TRX dagli hot wallet di Binance su quella catena. Hanno poi utilizzato SunSwap, un exchange decentralizzato su Tron, per scambiare circa 234 milioni di USDT con una stima di 638 milioni di TRX.

Quello scambio ha un'importanza maggiore di quanto possa sembrare a prima vista. USDT è una stablecoin emessa da Tether, e Tether può congelare i token presenti su indirizzi specifici. TRX, al contrario, non ha un emittente centrale con una funzione di congelamento. Le conclusioni della ricerca evidenziano che asset non congelabili come TRX continuano a rappresentare una sfida per gli sforzi di recupero.

Tether e Circle hanno congelato circa 2,7-3 miliardi di dollari in stablecoin nelle conseguenze dell'attacco, un'azione resa possibile da quel controllo a livello di emittente — lo stesso strumento che entrambi gli emittenti hanno usato per bloccare fondi legati a precedenti exploit.

Chi c'è dietro e come ha risposto Binance

L'incidente è stato attribuito con alta confidenza a TraderTraitor, un gruppo di hacker nordcoreano collegato a precedenti exploit su larga scala. Gli investigatori delle Nazioni Unite hanno stimato che le operazioni informatiche nordcoreane abbiano rubato miliardi di dollari in criptovalute negli ultimi anni, fondi che, secondo le loro valutazioni, contribuiscono a finanziare i programmi di armamento del paese. Binance sta indagando su un laptop DevOps compromesso come possibile vettore di attacco iniziale.

L'exchange ha dichiarato che coprirà tutte le perdite per i clienti coinvolti. Ha temporaneamente sospeso i prelievi dai wallet interessati — un passo di contenimento standard mentre è in corso un'indagine — e ha accantonato oltre 6,34 miliardi di dollari di fondi aziendali per assorbire il danno.

Porzioni significative degli asset rubati — in particolare i TRX — rimangono nelle mani degli hacker. Le conclusioni della ricerca descrivono gli attaccanti mentre riciclano attivamente i fondi.

Cosa significa

La storia più importante è la divisione tra ciò che può essere recuperato e ciò che non può esserlo. Le stablecoin si sono rivelate parzialmente recuperabili perché i loro emittenti possono congelarle, e miliardi di dollari sono stati bloccati nel giro di pochi giorni. I token nativi come TRX seguono regole diverse: una volta che lasciano il controllo di un exchange, il recupero dipende dal tracciamento, dalla cooperazione di altre piattaforme e dall'intercettare il denaro quando tenta di uscire. In pratica, significa osservare dove i TRX emergeranno successivamente — se finiscono su indirizzi di deposito di exchange, le piattaforme con controlli di conformità possono segnalare e bloccare i depositi legati a un exploit.

Le conclusioni della ricerca indicano un maggiore controllo sulla sicurezza degli exchange centralizzati e la possibilità di protocolli più severi in tutto il settore. I risultati suggeriscono inoltre che alcuni trader potrebbero valutare uno spostamento verso exchange decentralizzati dopo la violazione. In modo significativo, sono stati gli stessi attaccanti a utilizzare un exchange decentralizzato — SunSwap — per convertire il proprio denaro in una forma più difficile da congelare.

Questo articolo è basato su una ricerca di CryptoBriefing, dove è stato curato da John Chen. Originale: 120 milioni di TRX dall'hack di Binance spostati verso un wallet sconosciuto