L'aspetto più allarmante di quello che è stato descritto come il furto più grande della storia dell'umanità è che la crittografia ha funzionato esattamente come progettato. Nessuno ha violato una chiave privata principale la sera del 29 ottobre 2026. Un attaccante ha invece raggiunto, secondo quanto riferito, un container di servizio interno attraverso il laptop compromesso di un ingegnere DevOps e ha istruito l'infrastruttura di firma di Binance per svuotarsi.

In circa 20 minuti, 6,3 miliardi di dollari sono scomparsi su 10 blockchain, tra cui Bitcoin, Ethereum, Solana e XRP. L'episodio ha superato il precedente riferimento stabilito a febbraio 2025, quando il gruppo Lazarus nordcoreano drenò circa 1,5 miliardi di dollari da Bybit. L'incidente di Binance è stato riportato qui: https://technext24.com/news/hackers-steal-6-3-bn-from-binance-crypto-heist/

Mentre gli allerta on-chain si diffondevano su X, il co-fondatore di Binance Changpeng Zhao (CZ) ha rilasciato la prima ammissione pubblica con un post notevolmente misurato: "User funds are safe! It does look like a hack on Binance. Appreciate the quick freeze from Tether ($971m) and Circle ($823m)." Il post è disponibile all'indirizzo https://x.com/cz_binance/status/2113029289155178716?a=_Um3FD_EavLoFhA6AWU\u0026s=19.

Pochi minuti dopo, Zhao ha aggiunto: "I don't manage Binance (.com) anymore, but as a shareholder, I expect all user funds will be fully covered."

Entro venerdì 30 ottobre, circa 3 miliardi di dollari in stablecoin e token rubati erano stati congelati on-chain, meno della metà del totale sottratto. FBI e TRM Labs avevano collegato il furto con alta confidenza all'unità TraderTraitor nordcoreana.

L'attacco è arrivato mentre il mercato assorbiva 1,49 miliardi di dollari in posizioni a leva liquidate e Bitcoin scendeva sotto i 78.000 dollari. Il CEO di Binance Richard Teng ha risposto con un video messaggio, promettendo un sostegno aziendale di 6,34 miliardi di dollari.

"Siamo impegnati a coprire tutte le perdite derivanti dall'hack attraverso i fondi della nostra azienda. I vostri asset sono al sicuro", ha dichiarato Teng, sostenendo che il drenaggio aveva interessato solo gli hot wallet aziendali. "Non usiamo mai i fondi dei clienti, quindi non sono stati toccati."

Tuttavia, considerare il furto di Binance come un fallimento isolato del mondo crypto ignora lo schema più ampio. Il drenaggio del 29 ottobre è stato il finale di un collasso globale della cybersecurity durato 31 giorni. Per tutto il cosiddetto Black October, i perimetri difensivi che proteggevano web server, banche e infrastrutture di asset digitali hanno fallito contemporaneamente.

La crepa nelle fondamenta: PHP2Shell

Sette giorni prima che i wallet di Binance venissero svuotati, Zhao aveva pubblicato su X un avvertimento che in seguito si è rivelato profetico. "Call me paranoid, but be extra careful visiting ANY website in the next few days, as some web admins are not always up-to-date with security patches", ha scritto il 21 ottobre, riferendosi a due vulnerabilità appena divulgate in PHP. Il rapporto correlato è disponibile all'indirizzo https://technext24.com/policy-and-tech/nigeria-php2shell-cybersecurity-response/.

Il giorno successivo, ha aggiunto una massima ingegneristica: "No crypto wallet is 100% safe. No software is bug-free. No tech is 100% secure." Il suo secondo post è disponibile all'indirizzo https://x.com/cz_binance/status/2113462904435642556?a=jQb9RLbCOmUH6MqtmH8\u0026s=19.

Le vulnerabilità dietro l'avvertimento di Zhao erano note come PHP2Shell e tracciate come CVE-2026-109618 e CVE-2026-109619. I due bug di memoria use-after-free presentavano una gravità critica 9,2 secondo CVSS v4.0 e interessavano ogni installazione predefinita del runtime PHP principale dalle versioni 5.4 fino alla 8.5.11.

PHP alimenta circa il 70% dell'infrastruttura server-side di Internet. Le vulnerabilità consentivano ad attaccanti non autenticati di eseguire codice remoto ed esporre la memoria del server, inclusi token di sessione, chiavi private TLS e password dei database, prima ancora che il codice applicativo di un sito web venisse eseguito.

Lo sfruttamento sarebbe iniziato attorno al 17 ottobre, quattro giorni prima che il PHP Group rilasciasse le patch di emergenza il 21 ottobre. Le versioni patchate erano 8.5.12, 8.4.27, 8.3.36 e 8.2.35, le release che gli operatori dei server interessati dovevano installare per chiudere l'esposizione. Il CTO di Cloudflare Dane Knecht ha prontamente segnalato "early attacks emerging", avvertendo che i web application firewall offrivano solo una soluzione temporanea.

"This is a goldmine for hackers", ha dichiarato Shahak Shalev, Global Head of Scam and AI Research di Malwarebytes. "They can hijack real websites to take advantage of the site's reputation to do things like phishing people and serve malicious software from the trusted channel. The opportunities are endless."

Gli exchange crypto e le moderne fintech spesso costruiscono i propri sistemi centrali in Go, Rust o TypeScript. Tuttavia, i ricercatori di sicurezza di Halborn hanno osservato che PHP rimane ampiamente utilizzato per i siti marketing, i portali di supporto e i pannelli di amministrazione back-office che circondano quei sistemi. Molti di questi servizi contengono API key attive e webhook secret.

Mentre questa infrastruttura web di base era sotto pressione, gli attori minacciosi hanno trascorso ottobre raccogliendo credenziali e violate istituzioni in ogni continente.

In Sudafrica, la società di patologia Ampath Laboratories è stata attaccata dal gruppo ransomware ByteToBreach. Lo stesso attore minaccioso aveva precedentemente preso di mira istituzioni nigeriane, tra cui Sterling Bank e la Corporate Affairs Commission (CAC), all'inizio dell'anno. ByteToBreach ha rivendicato l'esfiltrazione di 80 milioni di cartelle cliniche di pazienti.

Gli attaccanti hanno anche colpito aziende della finanza tradizionale e della vendita al dettaglio. In Corea del Sud, gli hacker hanno usato uno strumento di AI cinese per violare 16 società finanziarie entro metà mese, rubando 68.000 record. Successivamente hanno colpito Daishin Securities, esponendo 38.490 record, oltre a Mirae Asset e al groupware interno dell'exchange crypto Bithumb il 28 ottobre.

In Italia, truffatori hanno usato un clone vocale generato dall'AI di tre minuti della voce di un avvocato per indurre dirigenti di Fideuram, la divisione private banking di Intesa Sanpaolo, a trasferire 108 milioni di dollari verso conti esteri. In Giappone, la società IT GMO Internet ha ricevuto una richiesta di riscatto di 50 milioni di dollari dopo che i suoi server forex e cloud erano stati violati. Il rivenditore MUJI ha esposto 27,26 milioni di record di clienti, mentre Cathay Pacific ha perso 53.000 record di prenotazioni a causa della violazione di un fornitore.

Il settore degli asset digitali ha affrontato ulteriori incidenti prima dell'attacco a Binance. Il produttore di hardware wallet Ledger ha reso noto il 12 ottobre che trappole LTE eSIM nascoste nei dispositivi venduti tramite il rivenditore terzo CryptoBilis avevano drenato 86 milioni di dollari in fondi utente.

Il 20 ottobre, il concorrente Keystone ha dichiarato di aver dovuto distruggere 18.835 dispositivi invenduti dopo che la violazione di un sistema di tracciamento di terze parti aveva esposto 25.964 record di acquirenti e una chiave di verifica di produzione. Tra il 28 e il 29 ottobre, Coinbase ha confermato che i dati dei clienti erano stati esposti tramite il fornitore di analisi Amplitude. Il prediction market Polymarket ha sospeso il trading internazionale dopo che uno script dirottato del fornitore britannico di monitoraggio DebugBear aveva drenato 2,65 milioni di dollari da oltre 700 account.

Tre spostamenti strutturali

Tre cambiamenti strutturali aiutano a spiegare perché i fallimenti di sicurezza sono apparsi contemporaneamente nel sistema globale nell'ottobre 2026.

Primo, la sovversione dei flussi di lavoro ha progressivamente sostituito il furto diretto delle chiavi. Come ha scritto Zhao il 21 ottobre, "AI doesn't need to break Bitcoin's cryptography to cause damage; leaked data already enables more phishing, social engineering, etc."

In Binance, gli attaccanti non avrebbero rubato le chiavi private. Hanno compromesso la workstation di un ingegnere, raggiunto un container di servizio che richiede prelievi e sfruttato la fiducia implicita del layer di firma in quel container. Dopo aver ottenuto l'accesso, hanno armato la funzionalità EIP-7702 di Ethereum, una capacità di protocollo che consente agli account blockchain ordinari di assumere una programmabilità simile agli smart contract, per automatizzare il drenaggio cross-chain in pochi minuti.

Secondo, l'AI offensiva è diventata autonoma. Nel corso di ottobre, i gruppi di cybercriminalità hanno distribuito piattaforme AI agentiche basate su grandi modelli linguistici commerciali, sistemi autonomi capaci di concatenare attività multi-step con supervisione umana minima, per scansionare server PHP2Shell non patchati, automatizzare takeover di Active Directory tramite backup ConnectWise e colpire oltre 400 istituzioni finanziarie in America Latina e Asia più velocemente di quanto i team umani potessero applicare le patch.

Terzo, il perimetro che circonda i fornitori terzi è crollato. Lo script DebugBear di Polymarket e il tracker Amplitude di Coinbase sono stati tra gli strumenti esterni usati per raggiungere le aziende colpite. Le fughe di credenziali cloud presso Railway e LiteLLM hanno illustrato la stessa debolezza: le organizzazioni sono state ripetutamente compromise attraverso strumenti aggiunti ai loro stack tecnologici.

Il Black October ha dimostrato che un fondo di riserva da miliardi di dollari e un cold storage di livello militare non possono proteggere un ecosistema quando un singolo server PHP non patchato, uno script di un fornitore avvelenato o il laptop compromesso di un ingegnere possono istruire una cassaforte di svuotarsi.