L'hack da 6,3 miliardi di dollari subìto da Binance il 29 ottobre è iniziato con un falso software installer scaricato cinque mesi prima, secondo lo stesso report sull'incidente pubblicato dall'exchange. Il rapporto, diffuso il 3 novembre, ricostruisce una campagna durata mesi che ha combinato malware, una falsa offerta di lavoro e credenziali rubate — una sequenza che, secondo il fondatore di un exchange concorrente, sarebbe potuta essere prevenuta da semplici regole di disciplina sul posto di lavoro.

Come si è sviluppato l'attacco da giugno a ottobre

La campagna è iniziata a giugno, quando un ingegnere delle operazioni wallet di Binance ha scaricato un installer di Homebrew modificato mentre tentava di installare uno strumento di coding basato su AI. Secondo l'exchange, il team di sicurezza ha identificato l'attività sospetta, sostituito il computer interessato e ruotato le credenziali correlate.

Nonostante quella risposta, l'incidente di giugno ha esposto informazioni sui dipendenti che lavoravano sull'infrastruttura wallet dell'exchange — dettagli che gli attaccanti hanno utilizzato nella fase successiva.

A settembre, gli attaccanti hanno preso di mira un secondo ingegnere tramite un falso processo di reclutamento, convincendolo infine a scaricare un software dannoso. Entro il 20 ottobre erano riusciti a raggiungere ulteriori sistemi di ingegneria utilizzando dispositivi compromessi e uno strumento AI interno. Nove giorni dopo, le credenziali rubate hanno permesso loro di distribuire codice dannoso legato ai prelievi non autorizzati.

Gli investigatori hanno collegato l'attacco a TraderTraitor, un'unità di hacking associata alla Corea del Nord che le autorità statunitensi hanno in precedenza collegato a furti di criptovalute basati su software trojanizzati e false offerte di lavoro. L'FBI ha successivamente attribuito il furto ad attaccanti sponsorizzati dallo Stato nordcoreano, mentre la Corea del Nord ha respinto le accuse.

Il fondatore di CoinEx indica tre falle di sicurezza evitabili

Dopo che Binance ha pubblicato il suo report, il fondatore di CoinEx Haipo Yang ha sostenuto in un post su X che la violazione rifletteva fallimenti nella disciplina operativa, non una mancanza di tecnologia di sicurezza.

"L'incidente di Binance ha esposto almeno tre errori del tutto evitabili: 1. Gli ambienti di sviluppo e operativi non erano completamente isolati. Chiunque abbia accesso alla produzione dovrebbe operare da una macchina dedicata utilizzata per nient'altro, senza software di terze parti…"

— Haipo Yang (@yhaiyang) 3 novembre 2026

"Nessuno di questi richiede tecnologie sofisticate. Ciò che mancava era la disciplina", ha scritto Yang.

Il suo primo punto riguardava la separazione degli ambienti di lavoro: i dipendenti con accesso ai sistemi finanziari in produzione dovrebbero utilizzare computer dedicati, con coding, chat e navigazione web effettuati su dispositivi separati.

Il secondo punto riguardava l'autenticazione. Yang ha sostenuto che una singola credenziale rubata potesse aprire servizi di produzione senza forti controlli aggiuntivi, e ha raccomandato chiavi di sicurezza hardware — dispositivi fisici progettati per resistere al phishing — e strumenti come AWS Session Manager.

Il terzo punto coinvolgeva la multi-party computation, una configurazione che suddivide la firma delle transazioni tra più partecipanti. Secondo Yang, i firmatari di Binance non verificavano in modo indipendente ciò che approvavano, facendo funzionare il sistema come una firma singola. "Il multisig funziona solo quando i firmatari si diffidano reciprocamente", ha scritto.

Queste affermazioni sono la valutazione personale di Yang. Binance non ha confermato pubblicamente ogni debolezza da lui descritta.

Binance dichiara di aver bloccato 57 minacce collegate alla Corea del Nord nel 2026

La co-CEO di Binance Yi He ha dichiarato che il team di sicurezza dell'exchange ha rilevato e prevenuto 57 sospetti casi di minacce informatiche collegate alla Corea del Nord durante il 2026. Ha spiegato che le tecniche includevano falsi colloqui di lavoro, strumenti per sviluppatori dannosi, pacchetti software compromessi e app false per videochiamate. Queste categorie si sovrappongono direttamente alla campagna da giugno a ottobre, dall'installer modificato che l'ha avviata al falso reclutamento successivo.

"Per tutto il 2026, il team di sicurezza di Binance ha rilevato e prevenuto 57 sospetti casi di minacce informatiche collegate alla Corea del Nord. Questi tentativi riflettono la minaccia persistente posta da attori sponsorizzati da Stati che prendono di mira il settore delle criptovalute. Le tecniche includono lavori fraudolenti… "

— Yi He (@heyibinance) 3 novembre 2026

"Ne abbiamo intercettati molti, ma il costo di non riuscire a fermarne anche uno solo è stato severo", ha scritto.

Recupero degli asset e prossimi passi

Il co-CEO Richard Teng ha dichiarato che Binance ha reintegrato il 98% degli asset interessati. Circa 2,85 miliardi di dollari sono stati congelati o intercettati, e la società si è impegnata a coprire l'intera perdita con fondi aziendali e riserve.

Binance ha inoltre completato una verifica Proof of Reserves che copre dieci importanti criptovalute, tra cui Bitcoin, Ethereum, BNB e XRP. La verifica conferma la copertura degli asset per quei token, ma non mostra se le falle descritte da Yang siano state corrette.

L'exchange ha dichiarato di aver ricostruito i sistemi wallet interessati, sostituito i dispositivi compromessi e disattivato le credenziali collegate. Ha anche ripristinato i prelievi per ulteriori asset Ethereum e Solana.

Binance prevede una revisione indipendente della cybersecurity insieme a una maggiore spesa per la protezione dei dispositivi e il rilevamento delle minacce. Ha dichiarato che alcune misure di sicurezza resteranno riservate, in modo che gli attaccanti non possano identificare i punti deboli. Con l'aspetto finanziario della violazione in gran parte affrontato, la prevista revisione indipendente della cybersecurity rappresenta il prossimo punto di controllo pubblico sulle questioni operative sollevate da Yang.

Questo articolo è basato sul report originale di Blockonomi.