Il furto da 6,34 miliardi di dollari ai danni di Binance è iniziato con un finto colloquio di lavoro ed è rimasto inattivo per cinque mesi prima che una sola moneta venisse spostata, secondo la prima versione pubblica dell'exchange sull'attacco del 29 ottobre, diffusa martedì.

Un rapporto preliminare sull'incidente pubblicato da Binance su X, insieme a una conferenza stampa con il co-CEO Richard Teng e il chief security officer Jimmy Su, descrive una campagna che combinava un download software compromesso, un finto processo di reclutamento, malware in grado di eludere il rilevamento degli endpoint e uno strumento di IA interno che gli attaccanti hanno voltato contro gli stessi ingegneri wallet dell'azienda.

Binance ha dichiarato di aver congelato o intercettato circa 2,85 miliardi di dollari degli asset rubati e di aver ripristinato il 98% dei token interessati con fondi propri, con la parte rimanente acquistata sul mercato aperto. Se confermato pienamente, la cifra rappresenterebbe il furto più grande mai registrato nel settore delle criptovalute, superando i circa 1,5 miliardi di dollari sottratti a Bybit nel febbraio 2025 — un attacco che gli investigatori hanno collegato anche ad attori nordcoreani.

"Questo non è stato un singolo errore o una singola violazione — è stata una campagna durata mesi", ha scritto Teng su X. "Pubblichiamo il rapporto completo perché le lezioni vanno ben oltre Binance."

L'FBI ha attribuito l'attacco alla Corea del Nord, una conclusione che il rapporto di Binance cita senza però esprimere una propria attribuzione. Pyongyang ha respinto l'accusa lunedì, con Kim Yo Jong, sorella del leader Kim Jong Un, che attraverso i media di stato l'ha definita una "grave provocazione politica". Da anni i comitati delle Nazioni Unite e le aziende di analisi blockchain collegano le unità di hacking nordcoreane a miliardi di dollari in criptovalute rubate a exchange e protocolli in tutto il mondo.

Cinque mesi di preparazione

Secondo Binance, il primo punto d'appoggio degli attaccanti è arrivato a giugno, quando un ingegnere DevOps del team wallet, cercando un popolare strumento di coding basato su IA, ha scaricato un installer di Homebrew manomesso. Il team di sicurezza ha rilevato l'anomalia, sostituito il dispositivo e ruotato le credenziali, ma l'episodio ha esposto il ruolo dell'ingegnere e i nomi dei colleghi del team infrastruttura wallet.

A settembre, un secondo ingegnere è stato contattato su una piattaforma di lavoro legittima da qualcuno che si spacciava per un direttore di progetto. È seguito un colloquio video con una presunta responsabile HR, durante il quale l'intervistatore ha condiviso un account social personale per creare fiducia. Un secondo colloquio con un finto CEO si è concluso con un "incarico": un repository di codice che all'ingegnere è stato detto di installare sul proprio computer di lavoro.

Il repository ha sostituito un componente legittimo di pyenv con una versione dannosa e ha aperto un canale verso un server controllato dall'attaccante. Binance ha dichiarato che il malware zero-day non era stato segnalato all'epoca dai propri strumenti endpoint.

Il 20 ottobre, gli attaccanti hanno usato quella macchina e lo strumento di IA interno per raggiungere altri due ingegneri wallet, uno dei quali possedeva un token di deployment per container. Il 29 ottobre, tra le 17:15 e le 19:56 UTC, si sono autenticati sul computer di un terzo ingegnere, hanno distribuito un container con le credenziali rubate e hanno avviato il drenaggio dei fondi. Binance ha dichiarato di aver bloccato quest'anno altri 57 tentativi sospettati di essere collegati alla Corea del Nord che utilizzavano esche simili. Le autorità statunitensi mettono in guardia da anni su queste campagne con finti recruiter volte a infiltrare malware nelle aziende tecnologiche e crypto attraverso i propri dipendenti.

Quattro ore per contenere l'attacco

Il denaro si è mosso rapidamente. Tra le 20:05 e le 20:09 UTC, cinque hot wallet hanno inviato 233,46 milioni di XRP a un indirizzo dell'attaccante. Sono seguiti wallet su Solana e Optimism con circa 970.500 SOL e 44,2 milioni di OP, e quindi un hot wallet di Binance ha inviato 18.270 BTC.

L'attaccante ha inoltre utilizzato il servizio di firma compromesso per invocare l'EIP-7702 di Ethereum, uno standard introdotto con l'aggiornamento Pectra del 2025 che consente a un account di delegare i diritti di esecuzione a uno smart contract senza esporre la propria chiave, concedendo a un contratto controllato dall'attaccante il controllo parziale di un hot wallet di Binance.

La sospensione dei prelievi non ha fermato quest'ultimo canale. Gli attaccanti avevano sottoposto 50 transazioni di firma per stabilire delegazioni on-chain che operavano al di fuori dell'infrastruttura di prelievo di Binance. Poiché il wallet utilizzava la multi-party computation, non esisteva una singola chiave per revocarle, e il team ha dovuto costruire una procedura sul momento. L'ultimo trasferimento non autorizzato, 2.961,9 ETH, si è concluso alle 23:56 UTC, e Binance ha rimosso la delegazione alle 00:10 UTC del 30 ottobre.

Il rapporto riconosce il ritardo. "Queste difficoltà hanno esteso il tempo necessario per contenere completamente i movimenti non autorizzati di asset", si legge, aggiungendo che l'azienda sta rivedendo la copertura della propria politica di firma e i controlli sugli hot wallet.

Eodeflussi, poi segnali di stabilizzazione

I clienti hanno prelevato 10,97 miliardi di dollari nelle 46 ore successive alla riapertura dei prelievi domenica, con deflussi netti di 5,28 miliardi di dollari, secondo dati condivisi da Teng martedì. Alle 03:00 UTC i depositi orari hanno superato i prelievi — un cambiamento che Teng ha definito un segnale di stabilizzazione. Martedì, Binance ha riaperto i prelievi per decine di altri asset su nove reti.

La violazione è diventata anche un tema di discussione a Washington. Il presidente della CFTC Michael Selig ha dichiarato che l'hack "dimostra esattamente il nostro punto" riguardo alla necessità di un percorso di registrazione federale per gli exchange offshore, e martedì l'agenzia ha autorizzato i perpetual futures su azioni per le piattaforme regolamentate negli Stati Uniti, estendendo la spinta verso l'onshoring avviata a maggio con il perp su bitcoin di Kalshi.

Binance ha dichiarato di aver ricostruito il sistema wallet e lo strumento di IA interno in nuovi ambienti, di aver sostituito i dispositivi interessati, revocato le credenziali degli ingegneri e ampliato il rilevamento delle anomalie comportamentali. Ha commissionato una revisione indipendente, sta aumentando la spesa per la sicurezza degli endpoint e degli ambienti di sviluppo e sta pianificando un fondo di ricerca sulla sicurezza dell'IA con partner esterni. La velocità del riacquisto dei token rubati rimanenti, l'eventuale recupero degli asset congelati e le conclusioni della revisione indipendente sono gli elementi immediati da monitorare. Alcuni dettagli tecnici, dice il rapporto, rimarranno riservati.

Questo articolo è apparso originariamente su Bitcoin Magazine ed è stato scritto da Micah Zimmerman.