Il co-CEO di Binance Richard Teng ha dichiarato che gli attaccanti responsabili dell'hack di circa 6,3 miliardi di dollari reso noto il 30 ottobre hanno integrato meccanismi di auto-distruzione nella loro operazione, cancellando i propri strumenti e tracce mentre l'attacco era in corso, una misura che, secondo Teng, ha reso l'incidente notevolmente più difficile da tracciare.

L'aggiornamento del 30 ottobre ha inoltre illustrato come gli attaccanti hanno ottenuto il controllo di un hot wallet, perché l'indagine si è ampliata oltre la pista iniziale e cosa sta facendo Binance per ripristinare i servizi, sottoporre a audit i propri sistemi e dimostrare le proprie riserve.

Teng ha confermato che più persone hanno partecipato all'attacco. Gli investigatori avevano inizialmente sospettato un laptop compromesso come punto di accesso, ma il team ha successivamente identificato altri punti di ingresso nei sistemi di Binance. Di conseguenza, l'ambito della revisione si è ampliato e il co-CEO ha dichiarato che l'indagine in espansione è diventata più complessa.

Strumenti di auto-distruzione e dati di collegamento cancellati

Secondo l'aggiornamento, i meccanismi di auto-distruzione hanno cancellato strumenti e tracce mentre l'attacco era in corso. Gli attaccanti hanno inoltre rimosso i dati di collegamento durante l'esecuzione, il che limita la facilità con cui gli investigatori possono collegare l'attività dannosa. Il team continua a lavorare sui dati rimanenti mentre l'indagine procede. Questa cancellazione è rilevante perché il tracciamento blockchain dipende generalmente proprio da questo tipo di dati di collegamento per raggruppare gli indirizzi e seguire i fondi rubati — il che significa che le società di intelligence esterne che ora assistono Binance stanno lavorando su un registro volutamente assottigliato.

Come gli attaccanti hanno ottenuto il controllo

Teng ha dichiarato che gli attaccanti hanno utilizzato l'EIP-7702, uno standard di Ethereum che consente ai normali indirizzi wallet di assumere funzionalità di smart contract, per ottenere l'autorità di esecuzione on-chain su un hot wallet. Questo passaggio ha aggirato i normali controlli di approvazione dell'exchange, il che significa che l'hot wallet ha spostato fondi senza la consueta approvazione interna.

Gli hot wallet restano connessi a Internet affinché gli exchange possano elaborare i prelievi quotidiani, il che li rende un punto focale naturale nella sicurezza degli exchange. L'EIP-7702 è di per sé recente: è entrato in funzione con l'aggiornamento Pectra di Ethereum a maggio 2025, nell'ambito dell'iniziativa della rete per portare le funzionalità di smart account ai wallet standard.

L'incidente ha causato una perdita di circa 6,3 miliardi di dollari e le misure di occultamento hanno complicato gli sforzi per ricostruire il percorso degli attaccanti attraverso i sistemi di Binance, secondo l'aggiornamento.

Prelievi sospesi durante la ricostruzione dei sistemi

Binance ha sospeso i prelievi mentre ricostruisce e testa i propri sistemi, ha dichiarato Teng. Il servizio resterà offline finché non supererà i test di sicurezza e funzionali, il che significa che nel frattempo gli utenti non possono prelevare fondi dall'exchange.

L'exchange punta al ripristino entro 40 ore, una tempistica che precede la scadenza della domenica menzionata nell'aggiornamento.

Come parte del più ampio sforzo di recupero, Binance ha inoltre avviato un audit di sicurezza completo. La revisione copre tutti gli endpoint, l'infrastruttura cloud, i protocolli di gestione delle chiavi e le procedure di firma crittografica — i controlli che governano come l'autorità di transazione viene concessa ed eseguita.

Rapporto proof of reserves atteso entro lunedì

La proof of reserves è un'altra priorità. Binance sta finalizzando l'acquisto dei propri asset rimanenti, dopodiché prevede di pubblicare una panoramica iniziale delle riserve. Un rapporto completo è atteso entro lunedì e dovrà dimostrare la copertura degli asset e la liquidità.

Rapporti di questo tipo sono divenuti una prassi industriale diffusa dopo il crollo di FTX nel 2022, quando gli exchange sono stati sotto pressione per dimostrare agli utenti che gli asset dei clienti erano effettivamente coperti.

Cooperazione con le autorità e i partner del settore

Teng ha aggiunto che Binance sta collaborando con partner esterni per tracciare e recuperare i fondi rubati. Tra questi vi sono forze dell'ordine, società di intelligence blockchain, emittenti di token e altri exchange. L'exchange prevede inoltre di perseguire la responsabilità legale degli attaccanti e coordinerà il lavoro con questi gruppi mentre l'indagine continua.

Fonte: Blockonomi