Gli hacker hanno sottratto circa 6,3 miliardi di dollari da Binance giovedì, nel furto di criptovalute più grande mai registrato, che eclissa i 1,5 miliardi di dollari rubati a Bybit a febbraio 2025. I partner del settore hanno congelato circa 3 miliardi di dollari in asset interessati, mentre i clienti dell'exchange attendono la riapertura dei prelievi.

La società di analisi blockchain TRM Labs ha fatto risalire i primi trasferimenti non autorizzati alle 20:05 UTC di giovedì, quando i wallet di Binance sono stati svuotati su più blockchain. Gli aggressori hanno preso di mira gli hot wallet, che gli exchange mantengono connessi a internet per elaborare i prelievi. Poiché devono rimanere online, gli hot wallet sono generalmente considerati la parte più esposta dell'infrastruttura di un exchange, e i grandi attacchi agli exchange si sono ripetutamente concentrati su di essi.

TRM Labs ha attribuito l'attacco al gruppo TraderTraitor della Corea del Nord, lo stesso responsabile a cui l'FBI statunitense attribuisce il furto a Bybit. Binance non ha confermato pubblicamente l'identità degli aggressori. Se l'attribuzione risultasse corretta, i due furti di criptovalute più grandi mai registrati risalirebbero a un unico gruppo.

I dati e la cronologia di seguito si basano sulla cronaca in diretta di Cointelegraph sull'incidente e sulle successive dichiarazioni dell'exchange. Le indagini sono in corso, e sia i totali delle perdite che il calendario del recupero potrebbero cambiare.

Binance accantona 6,34 miliardi di dollari per coprire le perdite

Binance ha dichiarato di aver accantonato oltre 6,34 miliardi di dollari di fondi aziendali per coprire le perdite, inclusi 5 miliardi di dollari già detenuti nei token interessati. Tale allocazione esclude gli asset congelati, e l'exchange ha detto di stare acquistando i token rimanenti tramite exchange e trattative over-the-counter. Insieme, i congelamenti dei partner e la riserva finanziata dall'azienda riflettono le due principali leve di recupero in un furto di questa scala: intercettare i fondi rubati mentre si muovono nell'ecosistema e reintegrare i saldi dei clienti dal bilancio dello stesso exchange.

Un portavoce ha detto a Cointelegraph che i 5 miliardi di dollari erano nella custodia di Binance, ma ha declinato di rivelare gli indirizzi dei wallet per motivi di sicurezza. La società di sicurezza CertiK ha dichiarato di aver bisogno di maggiori informazioni per verificare indipendentemente le partecipazioni.

Il ruolo di EIP-7702 sotto esame

L'upgrade EIP-7702 di Ethereum è finito sotto accusa dopo che gli aggressori lo hanno usato per svuotare un wallet di Binance. EIP-7702 è una funzionalità che consente a un wallet di autorizzare un software ad agire per suo conto. Il CEO di Blockaid, Ido Ben-Natan, ha detto a Cointelegraph che sistemi di firma compromessi hanno probabilmente consentito il furto.

Secondo Ben-Natan, gli aggressori avrebbero potuto rubare i fondi anche senza EIP-7702, ma la funzionalità potrebbe averli aiutati a aggirare le misure di sicurezza e a svuotare gli asset in un'unica azione.

Il co-CEO di Binance, Richard Teng, ha detto che l'aggressore ha utilizzato una delega EIP-7702 per ottenere l'autorità di esecuzione su un hot wallet senza passare i normali controlli di approvazione dell'exchange. Un "meccanismo di autodistruzione" ha distrutto gli strumenti e le tracce, complicando le indagini, ha detto.

Binance ha dichiarato che gli investigatori hanno anche scoperto ulteriori violazioni oltre al laptop compromesso inizialmente sospettato. Tuttavia, l'exchange ha riferito che non ci sono prove della fuga delle chiavi private dei wallet e ha detto di attendersi di condividere ulteriori riscontri tecnici entro circa 48 ore.

"Per chiarezza: l'aggressore non ha semplicemente usato i permessi di un solo ingegnere, e questa non è stata una singola azione 'con un clic'", ha detto Teng. "Le nostre indagini non hanno attribuito responsabilità ad alcun individuo."

Chainalysis ha osservato migliaia di transazioni in rapida successione che potrebbero indicare un riciclaggio automatizzato, con fondi che circolano tra indirizzi e a volte tornano ai wallet usati in precedenza.

Gli utenti attendono la riapertura dei prelievi

Il furto ha scosso i prezzi delle criptovalute e ha indotto il lender decentralizzato Aave a imporre un congelamento precauzionale di nuovi depositi e prestiti. Aave ha annunciato su X che i suoi mercati sono stati riaperti venerdì pomeriggio, mentre i prelievi di Binance restavano sospesi.

In un aggiornamento di venerdì su X, Binance ha detto che puntava a iniziare a riaprire i prelievi in fasi domenica 1 novembre, previo completamento dei controlli di sicurezza. Depositi e altri servizi non interessati sono rimasti operativi.

In un annuncio ufficiale, l'exchange ha anche detto di aver pianificato di effettuare uno snapshot iniziale proof-of-reserves entro 12 ore dall'annuncio, con risultati pronti per lunedì. Il report è destinato a mostrare gli asset detenuti da Binance e la copertura dei saldi dei clienti.

In un aggiornamento di sabato, Binance ha detto di aver reintegrato il 90% degli asset rubati e di essere in linea per aprire i prelievi entro domenica. Nel complesso, la riapertura in fasi prevista per domenica, i riscontri tecnici promessi entro circa 48 ore e i risultati proof-of-reserves attesi per lunedì costituiscono la cronologia alla quale misurare il recupero dell'exchange.