Otto settimane di accesso silenzioso prima dell'furto record da 6,3 miliardi di dollari ai danni di Binance

Gli hacker che hanno rubato circa 6,3 miliardi di dollari da Binance il 29 ottobre avrebbero mantenuto l'accesso all'exchange per otto settimane prima di agire. Il furto in sé è stato rapido; la preparazione no, e proprio questo divario è la parte più inquietante della vicenda. La rapina ha colpito gli hot wallet di Binance — i wallet connessi a internet che gli exchange mantengono online per elaborare i depositi e i prelievi quotidiani dei clienti — e si colloca come il più grande furto di asset digitali mai registrato.

Venti minuti di azione, settimane di pazienza

L'attacco è iniziato intorno alle 20:05 UTC del 29 ottobre 2026, con la maggior parte dell'operazione svoltasi in circa 20 minuti. In quell'arco di tempo, gli aggressori hanno spostato fondi attraverso più di dieci blockchain, tra cui Ethereum, Bitcoin e Solana. Coordinare un drenaggio su così tante reti richiede pianificazione, non improvvisazione. La dispersione restringe inoltre le opzioni di recupero: gli strumenti per tracciare e congelare i fondi rubati variano da chain a chain, e non ogni asset in movimento può essere intercettato.

La preparazione sarebbe risalita a molto prima. Le ricerche sull'incidente indicano un periodo di preparazione iniziato non più tardi di giugno 2026. La cronologia include anche passaggi specifici il 20 ottobre, e i test dell'accesso interno si sarebbero svolti circa 36 ore prima dell'attacco.

Come sono entrati

L'indagine di Binance ha rilevato che la violazione proveniva da una campagna su più livelli basata sul social engineering, ovvero la manipolazione di persone e flussi di lavoro fidati anziché un attacco crittografico diretto. Le tattiche includevano un finto colloquio di lavoro e strumenti di sviluppo software manomessi, che hanno dato agli aggressori accesso ai sistemi interni di Binance. Da lì hanno potuto spingere transazioni non autorizzate.

In modo rilevante, gli aggressori non hanno avuto bisogno di compromettere le chiavi private. Le chiavi private sono le password crittografiche che controllano i wallet crypto e sono generalmente considerate i beni più preziosi della sicurezza di un exchange.

La violazione è stata attribuita a TraderTraitor, un gruppo hacker sponsorizzato dallo Stato nordcoreano. Lo stesso gruppo è collegato ad attacchi precedenti, tra cui il furto da 1,5 miliardi di dollari da Bybit nel febbraio 2025, che all'epoca rappresentava una perdita storica per un exchange centralizzato. La cifra legata a Binance è più di quattro volte superiore.

La gestione del danno da parte di Binance

Binance ha sospeso immediatamente i prelievi dopo il furto, per poi ripristinarli in fasi. L'exchange ha stanziato circa 6,34 miliardi di dollari dalle risorse aziendali per coprire le perdite, e entro il 31 ottobre ha indicato che circa il 98% degli asset rubati era stato reintegrato.

Anche i partner e gli emittenti di stablecoin sono intervenuti. Circa 2,85-3 miliardi di dollari dei fondi rubati sono stati congelati o intercettati. Gli emittenti di stablecoin possono bloccare i token a livello di contratto, neutralizzando di fatto una parte del bottino per i ladri. Questo controllo esiste solo per i token i cui contratti sono gestiti dagli emittenti, ed è per questo che un bottino disperso su così tante chain non può essere del tutto neutralizzato in questo modo.

Binance ha inoltre commissionato una revisione di sicurezza indipendente. Il suo scopo dichiarato è analizzare la violazione e rafforzare la resilienza dell'exchange in futuro.

Un copione familiare su scala maggiore

Gli hacker legati alla Corea del Nord hanno trascorso anni a perfezionare un approccio specifico ai bersagli crypto, e il caso Binance rientra nello schema: infiltrazione paziente, manipolazione umana, poi un'uscita rapida.

I finti colloqui di lavoro sono un'esca particolarmente efficace. Uno sviluppatore convinto di completare una valutazione tecnica può eseguire codice o installare strumenti senza la cautela che riserverebbe a un file sconosciuto. Gli strumenti di sviluppo manomessi estendono la stessa idea: gli ingegneri si fidano delle loro toolchain, e quella fiducia diventa il punto d'ingresso.

Cosa significa

Per gli exchange, la lezione più chiara è che la sicurezza degli hot wallet è forte solo quanto i sistemi interni che possono autorizzare transazioni da essi. Proteggere le chiavi private è necessario ma evidentemente non sufficiente quando un intruso può operare all'interno del processo di approvazione.

Il periodo di accesso di otto settimane riferito attirerà probabilmente il massimo scrutinio. Il rilevamento, non solo la prevenzione, è l'ambito in cui la revisione indipendente dovrà fornire risposte.

Il congelamento parziale di circa 2,85-3 miliardi di dollari evidenzia un'altra dinamica: gli emittenti di stablecoin e le società partner agiscono ora di fatto come un freno d'emergenza sui grandi furti, il che rafforza l'argomento a favore degli strumenti di intervento centralizzati che alcuni nel mondo crypto continuano a contrastare.

Per gli utenti, la lezione pratica riguarda meno Binance in sé e più il funzionamento della custodia. I fondi su qualsiasi exchange centralizzato dipendono dai controlli interni di quell'exchange, dalle sue riserve e dalla sua capacità di assorbire un colpo quando quei controlli falliscono. Binance, questa volta, aveva le riserve. La domanda aperta per il settore è quanti altri piattaforme potrebbero dirne altrettanto se un gruppo con settimane di accesso silenzioso li scegliesse come prossimi bersagli.