Binance ha confermato una grave violazione della sicurezza che ha interessato circa 6,3 miliardi di dollari in asset digitali, con quasi 3 miliardi di dollari congelati mentre l'exchange di criptovalute collabora con le reti blockchain, gli emittenti di stablecoin e le forze dell'ordine per contenere quella che potrebbe diventare il furto di criptovalute più grande mai registrato.

La comunicazione del 30 ottobre è seguita a prelievi sospetti per un totale iniziale di 2,77 miliardi di dollari su cinque blockchain la sera precedente. Le indagini preliminari di Binance indicano che gli attaccanti potrebbero aver compromesso il laptop di un ingegnere DevOps, ottenuto l'accesso a un container di servizio interno e inviato transazioni di prelievo non autorizzate.

L'exchange ha temporaneamente sospeso depositi e prelievi—un passo di contenimento standard mentre è in corso un'indagine di sicurezza attiva—ha revocato l'autorizzazione dell'indirizzo interessato e si è impegnato a coprire tutte le perdite tramite il Secure Asset Fund for Users (SAFU), un fondo di emergenza istituito nel 2018 e finanziato da una parte delle commissioni di trading, e i fondi aziendali. Binance ha dichiarato che i saldi dei clienti restano protetti, sebbene l'indagine non abbia ancora stabilito l'importo finale recuperabile o l'entità completa della compromissione.

Laptop di un ingegnere compromesso collegato alla violazione di Binance

L'incidente ha iniziato ad attirare l'attenzione il 29 ottobre, quando i ricercatori blockchain hanno rilevato trasferimenti insolitamente ingenti da wallet associati a Binance verso indirizzi esterni all'infrastruttura di custodia pubblicamente identificata dell'exchange. Le prime segnalazioni descrivevano deflussi per circa 2,77 miliardi di dollari (Crypto Adventure).

Le tracce successive hanno rivelato un incidente notevolmente più ampio. La comunicazione sulla sicurezza del 30 ottobre di Binance ha stimato l'impatto in 6,3 miliardi di dollari, una significativa escalation rispetto alle cifre preliminari.

Il punto di ingresso sospetto era un laptop compromesso appartenente a un ingegnere DevOps. Gli investigatori ritengono che l'attaccante abbia utilizzato quell'accesso per raggiungere un container di servizio in grado di inviare istruzioni di prelievo non autorizzate. Binance non ha trovato prove che le chiavi private dei wallet siano state esposte direttamente, suggerendo che l'attacco potrebbe aver sfruttato permessi operativi interni piuttosto che implicare un furto convenzionale di chiavi private. Questa distinzione è importante perché sposta la questione della sicurezza dalla custodia delle chiavi ai sistemi di autorizzazione interni su cui gli exchange si affidano per muovere i fondi dei clienti—proprio i sistemi che l'indagine non ha ancora pienamente spiegato.

Circa 6,36 miliardi di dollari sono stati spostati su 10 blockchain durante l'incidente, secondo l'analisi on-chain di TRM Labs. La maggior parte dell'attività si è verificata in un periodo di circa 20 minuti a partire dalle 20:05 UTC del 29 ottobre.

I trasferimenti hanno coinvolto Ethereum, Bitcoin, Tron, XRP Ledger e Solana, insieme a movimenti minori su diverse altre reti. Su Ethereum, gli investigatori hanno identificato l'uso della delega di account EIP-7702, che avrebbe permesso a un contratto controllato dall'attaccante di dirottare fondi da un hot wallet di Binance, il tipo di wallet connesso a Internet su cui gli exchange si affidano per elaborare i prelievi ordinari. EIP-7702 è un meccanismo di Ethereum che abilita determinate funzioni di delega degli account.

Altre reti interessate hanno mostrato transazioni firmate convenzionali, sollevando domande su come siano stati accessi i sistemi interni di autorizzazione dei prelievi di Binance. L'esatta relazione tra queste tecniche on-chain e il dispositivo del dipendente compromesso resta sotto indagine.

Tether, Circle e partner blockchain congelano 3 miliardi di dollari

Diversi importanti emittenti di criptovalute hanno provveduto a limitare gli asset associati al sospetto attaccante. Tether ha congelato oltre 1,567 miliardi di USDT collegati all'incidente, mentre Circle ha bloccato più di 800 milioni di USDC in coordinamento con gli investigatori.

Ripple avrebbe inoltre limitato circa 200 milioni di dollari in asset interessati, e World Liberty Financial ha congelato circa 27 milioni di dollari in token USD1. Azioni aggiuntive hanno coinvolto fornitori di infrastrutture blockchain, tra cui il Security Council di Arbitrum, che ha limitato gli asset collegati all'exploit.

Insieme, queste misure hanno contribuito a circa 3 miliardi di dollari in asset congelati, secondo le ultime cifre confermate da Binance. Il congelamento degli asset impedisce che vengano trasferiti tramite i contratti token o le reti interessate—una capacità che i principali emittenti di stablecoin come Tether e Circle detengono a livello di contratto—ma non significa necessariamente che i fondi siano stati restituiti a Binance.

L'esposizione residua è sostanziale. In base alla stima preliminare di 6,3 miliardi di dollari dell'exchange, circa 3,3 miliardi di dollari non rientrano nell'importo congelato riportato. Tale cifra, tuttavia, non è necessariamente equivalente alla perdita finale non recuperabile, poiché le attività di tracciamento e recupero restano in corso.

Binance ha coinvolto le forze dell'ordine, gli emittenti di token e le società di intelligence blockchain per tracciare ulteriori fondi e prevenirne il movimento. L'exchange si è anche impegnato a reintegrare eventuali perdite utilizzando il fondo di emergenza SAFU e i fondi aziendali, promettendo un aggiornato Proof of Reserves una volta completata la bonifica.

Gruppo di hacker nordcoreano collegato all'attacco

L'indagine ha sollevato preoccupazioni circa un possibile coinvolgimento di criminali informatici nordcoreani. TRM Labs ha attribuito l'attacco a TraderTraitor, un'operazione di hacking legata alla Corea del Nord associata a furti di criptovalute sofisticati. La società ha espresso alta confidenza nella propria valutazione basandosi sull'attività blockchain e altre informazioni.

Il presunto collegamento è significativo considerata la storia della Corea del Nord nel prendere di mira le piattaforme di criptovalute. A febbraio 2025, hacker legati al paese hanno rubato circa 1,5 miliardi di dollari da Bybit in un attacco che ha esposto debolezze nella sicurezza dei wallet istituzionali—un furto che prima di questo incidente rappresentava il più grande hack di criptovalute mai registrato. L'ultimo incidente segue inoltre la violazione del wallet di Bitget a settembre, pari a 387,5 milioni di dollari, in cui credenziali di accesso interne compromesse hanno consentito comandi di prelievo non autorizzati senza esporre direttamente le chiavi private—uno schema che rispecchia da vicino i presunti meccanismi della violazione di Binance.

Per Binance, le priorità immediate restano la protezione dei saldi dei clienti, la messa in sicurezza dell'infrastruttura operativa e il recupero degli asset interessati. Il co-fondatore Changpeng Zhao, dimessosi da amministratore delegato nel 2023, ha riconosciuto che l'incidente sembrava un hack e ha espresso fiducia che i clienti sarebbero stati pienamente coperti in un post su X.

L'incidente ha inoltre condizionato i mercati delle criptovalute, con Bitcoin sceso sotto i 79.000 dollari durante la reazione iniziale e BNB che ha registrato un calo più marcato mentre i trader valutavano le potenziali conseguenze operative e finanziarie per l'exchange. Binance non ha annunciato una tempistica confermata per il ripristino di depositi e prelievi.

Un'analisi tecnica completa è attesa al termine dell'indagine. È prevista un'ulteriore chiarificazione sul punto di ingresso dell'attacco, sui sistemi interessati e sui guasti dell'autorizzazione dei prelievi.

Quanto dei restanti circa 3,3 miliardi di dollari verrà effettivamente recuperato, quando depositi e prelievi riprenderanno e cosa rivelerà l'analisi tecnica determinerà come verrà misurata l'entità finale dell'incidente. Con miliardi di dollari ancora soggetti ad attività di tracciamento e recupero, l'impatto finanziario finale resta incerto. La violazione è già tra gli incidenti di sicurezza per exchange di criptovalute più consequenziali, e la sua scala potrebbe superare ogni furto di criptovalute precedentemente registrato se le cifre preliminari verranno confermate.